De bron definieert meerdere zoekacties voor de zero-daykwetsbaarheid in Windows CLFS en de PipeMagic-exploitketen, inclusief activiteit die verband houdt met CVE-2025-29824 en later ransomwaregedrag.

In plaats van op één indicator te vertrouwen, omvat de aanpak voor threat hunting klaarzetopdrachten, bekende hashes, C2-infrastructuur en named pipes.

Klaarzetten via Certutil en MSBuild

De eerste zoekopdracht zoekt naar certutil.exe dat externe inhoud downloadt of verwerkt, en naar MSBuild- of .NET-uitvoering die verwijst naar voor gebruikers beschrijfbare mappen:

data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))

De bron registreerde 44 overeenkomende gebeurtenissen in de afgelopen 30 dagen.

Gepubliceerde PipeMagic-hashes

De tweede zoekopdracht doorzoekt proceshashgegevens op drie gepubliceerde waarden:

data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)

De bron registreerde nul overeenkomsten.

Indicatoren voor C2 en named pipes

De derde zoekopdracht zoekt naar een gepubliceerde hostnaam en een named-pipe-patroon:

(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)

De bron registreerde opnieuw nul overeenkomsten.

Interpretatie van de 44 klaarzetgebeurtenissen

De klaarzetzoekopdracht is breder dan de hash- en C2-indicatoren. Certutil, MSBuild en dotnet zijn legitieme hulpmiddelen, dus deze 44 gebeurtenissen vereisen een contextuele beoordeling.

Analisten moeten prioriteit geven aan:

• externe URL's;

• uitvoering vanuit Temp of ProgramData;

• ongebruikelijke bovenliggende processen;

• niet-ondertekende ladingen;

• activiteit vlak voor rechtenescalatie of ransomware-opdrachten.

Waarom diversiteit aan indicatoren belangrijk is

Hashes en infrastructuurindicatoren zijn nauwkeurig, maar kunnen verouderd raken of per campagne veranderen. Gedragsgebaseerde klaarzetregels zijn breder en kunnen gerelateerde activiteit detecteren, zelfs als er geen bekend exemplaar aanwezig is.

De sterkste strategie voor threat hunting combineert dan ook beide.

Onderzoeksworkflow

Beoordeel bij een klaarzetgebeurtenis het gedownloade of uitgevoerde bestand, bereken hashes, controleer netwerkbestemmingen, inspecteer het bovenliggende proces en correleer met daaropvolgende SYSTEM-uitvoering of ransomwaregedrag.

Operationele waarde

Deze set zoekacties biedt een gelaagd beeld van de exploitketen: generiek klaarzetgedrag, bekende malware-artefacten en bekende communicatie-indicatoren.

Die combinatie is nuttig voor zowel campagnespecifieke threat hunting als bredere detection engineering.