Kwaadaardige documenten, vervaardigde archieven en kwetsbaarheden in bestandshandlers steunen vaak op een vertrouwde gebruikerstoepassing om uitvoering van systeemeigen code te bereiken. Procesrelaties op endpoints kunnen helpen deze overgang zichtbaar te maken.
De bron definieert een zoekactie naar Microsoft Office-toepassingen, Adobe Reader, archiefhulpprogramma's, Windows Explorer en Microsoft Management Console die opdrachtshells en andere verdachte onderliggende processen starten.
In de zoekactie opgenomen toepassingen
De lijst met bovenliggende processen omvat:
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
De lijst met verdachte onderliggende processen omvat opdrachtshells, scriptmodules, LOLBins, hulpmiddelen voor geplande taken en Windows Installer.
Detectiequery
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
De bron koppelt de zoekactie aan kwetsbaarheden in kwaadaardige documenten en bestandshandlers, waaronder CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218 en latere zero-daykwetsbaarheden in Office of de Windows Shell.
De zoekopdracht leverde 621 resultaten op in de afgelopen 30 dagen.
Het gedrag interpreteren
Niet elk onderliggend proces is kwaadaardig. Sommige documenten bevatten legitieme automatisering, bedrijfssoftware kan bestandshandlers registreren en archiefhulpprogramma's kunnen hulptoepassingen aanroepen.
De belangrijke vraag is of de procesrelatie verwacht is voor de specifieke gebruiker, host en werkstroom.
Zo is winword.exe → powershell.exe op een normaal kantoorwerkstation aanzienlijk interessanter dan een bekende deploymenttool die msiexec.exe aanroept.
Onderzoeksstappen
Controleer bij elke verdachte gebeurtenis:
de oorspronkelijke bovenliggende toepassing;
het geopende bestand, indien beschikbaar;
opdrachtregelargumenten;
gebruikersidentiteit;
bronpad van het document of archief;
bestandshashes;
netwerkverbindingen;
aanvullende onderliggende processen;
na uitvoering aangemaakte bestanden.
Als de keten doorloopt in downloadprogramma's, scriptinterpreters of persistentieopdrachten, moet de gebeurtenis een hogere prioriteit krijgen.
Valse positieven verminderen
Begin met het groeperen van resultaten op procespaar en opdrachtregel. De 621 gebeurtenissen in de bron kunnen samenvallen tot een klein aantal terugkerende legitieme patronen.
Goede uitsluitingen zijn smal en verklaarbaar. Ze moeten een specifieke goedgekeurde werkstroom beschrijven in plaats van een hele toepassing uit de bewaking te halen.
Detectiewaarde
Deze zoekactie is nuttig omdat ze geen handtekening nodig heeft voor elk kwaadaardig document of archief. Ze bewaakt het gedrag dat vaak volgt op succesvol misbruik.
Dat maakt haar een praktische detectielaag voor endpointomgevingen waar Office-bestanden, archieven, pdf's en beheerconsoles veelvoorkomende aanvalsoppervlakken blijven.
