Processen die met SYSTEM-integriteit draaien, komen normaal uit vertrouwde Windows- of toepassingslocaties. Wanneer een proces op SYSTEM-niveau wordt uitgevoerd vanuit een door gebruikers beschrijfbare map, kan die combinatie een nuttig signaal voor rechtenescalatie zijn.
De bron definieert een gedragsgebaseerde zoekactie voor precies deze voorwaarde.
Detectielogica
De zoekopdracht vereist:
Sysmon-procescreatie, gebeurtenis-ID 1;
integriteitsniveau ingesteld op
System;het uitvoerbare bestand van het proces of van het bovenliggende proces bevindt zich onder
Users,ProgramDataofTemp.
data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))
De bron koppelt de zoekactie aan zero-daykwetsbaarheden voor lokale rechtenescalatie in de Windows-kernel, CLFS, AFD, Win32k, DWM, Defender en andere componenten uit 2025 en 2026.
Het registreerde 1,638 overeenkomsten in de afgelopen 30 dagen.
Waarom door gebruikers beschrijfbare locaties ertoe doen
Mappen zoals tijdelijke mappen en delen van gebruikersprofielen zijn gewoonlijk beschrijfbaar voor standaardgebruikers of toepassingen. Uitvoering op SYSTEM-niveau vanaf deze locaties is daarom interessanter dan uitvoering vanuit vertrouwde Windows-mappen.
Het gedrag is niet automatisch kwaadaardig. Installatieprogramma's, updatemechanismen of beheeragents van de organisatie kunnen legitiem bestanden neerzetten op tijdelijke of gedeelde locaties.
De waarde zit in het identificeren van SYSTEM-uitvoering waarbij het pad, het bovenliggende proces of het bestand geen deel uitmaakt van de goedgekeurde referentiebasis.
Onderzoeksprioriteiten
Controleer voor elke gebeurtenis:
volledig pad van het uitvoerbare bestand;
bovenliggend proces;
aanmaaktijd van het bestand;
digitale handtekening;
hash;
gebruiker die aan de oorspronkelijke activiteit is gekoppeld;
opdrachtregel;
voorafgaande procesketen;
aanvullende onderliggende processen op SYSTEM-niveau.
Als het uitvoerbare bestand kort vóór de uitvoering verscheen, stel dan vast welk proces het heeft aangemaakt.
Referentiebasis en afstemming
Omdat de bron meer dan duizend gebeurtenissen teruggaf, is omgevingsspecifieke afstemming noodzakelijk.
Begin met het groeperen van resultaten op:
pad van het uitvoerbare bestand;
bovenliggend proces;
hostnaam;
ondertekenaar;
hash.
Herhaalde uitvoering van een bekende, ondertekend updateprogramma kan worden gedocumenteerd. Zeldzame niet-ondertekende binaire bestanden onder Temp of in een gebruikersmap verdienen meer aandacht.
Correlatiemogelijkheden
Deze zoekactie wordt sterker in combinatie met:
crashes die met exploits samenhangen;
verdachte browser- of Office-activiteit;
wijziging van beveiligingscontroles;
het dumpen van inloggegevens;
persistentie;
klaarzetten van ransomware.
Een keten van uitvoering op gebruikersniveau naar procescreatie op SYSTEM-niveau, gevolgd door credentialtoegang of persistentie, is bijzonder belangrijk.
Operationele waarde
De regel biedt een generieke manier om proactief naar rechtenescalatie te zoeken zonder dat een handtekening voor een specifieke kernel-exploit nodig is.
Door te focussen op SYSTEM-integriteit in combinatie met ongebruikelijke uitvoeringspaden kunnen verdedigers gedrag identificeren dat bij meerdere kwetsbaarheden voor lokale rechtenescalatie kan optreden.
