Niet elke exploit produceert een direct zichtbare schadelijke lading of een duidelijke procesketen. Geheugencorruptie en misbruik van kernelstuurprogramma's kunnen zich ook voordoen als toepassingscrashes, storingen van diensten of fouten in systeemcomponenten.

De bron bevat een zoekactie die Windows-crashtelemetrie gebruikt als extra signaal wanneer bewijs van directe uitvoering kan ontbreken.

In de zoekactie opgenomen componenten

De zoekopdracht doorzoekt Windows-gebeurtenis-ID's 1000 en 1001 op berichten die verwijzen naar:

• clfs.sys;

• afd.sys;

• Win32k-componenten;

• dwmcore.dll;

• lsass.exe;

• netlogon.dll;

• Chrome;

• Microsoft Edge;

• V8-gerelateerde componenten.

Detectiequery

data.win.system.eventID:(1000 or 1001) and data.win.system.message:(clfs.sys or afd.sys or win32k* or dwmcore.dll or lsass.exe or netlogon.dll or chrome.dll or msedge.dll or v8*)

De bron beschrijft dit als dekking voor geheugencorruptie en misbruik van kernelstuurprogramma's waarbij uitvoering van de schadelijke lading niet zichtbaar is.

Het registreerde nul gebeurtenissen in de afgelopen 30 dagen.

Waarom crashgebeurtenissen nuttig kunnen zijn

Een crash alleen is geen bewijs van misbruik. Softwarefouten, instabiele drivers, hardwareproblemen en normale toepassingsstoringen kunnen allemaal vergelijkbare gebeurtenissen genereren.

Crashtelemetrie kan echter waardevol worden wanneer deze optreedt:

• op een van buitenaf bereikbaar of gevoelig systeem;

• direct na verdachte invoer;

• in de buurt van indicatoren van browser- of toepassingsmisbruik;

• kort vóór onverwachte SYSTEM-uitvoering;

• herhaaldelijk op meerdere systemen.

De gebeurtenis levert een extra stuk context dat kan worden gecorreleerd met sterkere beveiligingssignalen.

Onderzoeksaanpak

Bij een relevante crashgebeurtenis moeten analisten het volgende controleren:

• betrokken proces of module;

• hostrol;

• exacte tijdstempel;

• toepassingsversie;

• nabijgelegen gebeurtenissen van procescreatie;

• bestandsschrijfacties;

• netwerkactiviteit;

• beveiligingsmeldingen.

Als meerdere endpoints hetzelfde ongebruikelijke crashpatroon vertonen na vergelijkbare activiteit, kan de gebeurtenis opschaling verdienen.

Overinterpretatie voorkomen

Crashtelemetrie moet niet worden behandeld als een zelfstandige compromisregel. De waarde zit vooral in correlatie en threat hunting.

Een browsercrash gevolgd door PowerShell-uitvoering zou bijvoorbeeld verdachter zijn dan de crash alleen. Evenzo kan een crash gerelateerd aan een stuurprogramma gevolgd door een SYSTEM-proces dat vanuit Temp wordt uitgevoerd een sterkere keten opleveren.

Operationeel gebruik

Deze regel is nuttig als ondersteunende analyse in plaats van als primaire melding. Ze kan helpen exploitpogingen zichtbaar te maken die mislukken, gedeeltelijk slagen of geen duidelijke payloadtelemetrie opleveren.

Het uitblijven van treffers in de bronperiode doet niets af aan de waarde. Zeldzame crashpatronen kunnen belangrijk worden wanneer ze samenvallen met andere endpointindicatoren.