Browserele moderne execută zilnic conținut complex și potențial neîncredere. Atunci când o vulnerabilitate de browser duce la execuția de cod nativ, unul dintre cele mai utile semnale de la endpoint poate fi un proces-copil neașteptat creat de browser.

Sursa definește o vânătoare comportamentală cu semnal puternic pentru această activitate în Chrome, Microsoft Edge, Firefox, Brave și Opera.

Relații suspecte între procesele browserului

Interogarea monitorizează browserele care creează procese-copil precum:

• cmd.exe;

• powershell.exe sau pwsh.exe;

• mshta.exe;

• wscript.exe sau cscript.exe;

• rundll32.exe;

• regsvr32.exe;

• certutil.exe;

• bitsadmin.exe;

• schtasks.exe.

Aceste instrumente sunt legitime, dar reprezintă procese-copil neobișnuite pentru activitatea normală a unui browser în multe medii.

Sursa asociază acest comportament cu multiple zero-day-uri Chrome și Chromium, inclusiv CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 și CVE-2026-11645. De asemenea, notează acoperirea pentru post-exploatarea Edge și Firefox.

Interogare de detecție

data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)

Sursa a înregistrat 37.947 de potriviri în ultimele 30 de zile.

De ce o regulă cu semnal puternic poate fi totuși zgomotoasă

Relația dintre procese este suspectă în principiu, dar mediile enterprise pot introduce un comportament legitim declanșat de browser prin instrumente de management, aplicații auxiliare, extensii, cadre de testare, programe de instalare de software sau fluxuri de lucru personalizate.

Numărul mare de evenimente înseamnă că interogarea brută nu ar trebui tratată ca o alertă confirmată de compromitere fără reglare.

Un prim pas util este agregarea rezultatelor după:

• browser;

• procesul-copil;

• numele gazdei;

• utilizator;

• linia de comandă;

• calea executabilului.

Acest lucru dezvăluie de obicei dacă volumul provine dintr-un număr mic de fluxuri de lucru cunoscute sau dacă combinațiile suspecte sunt răspândite în tot mediul.

Priorități de investigație

O relație rară de tip browser-la-shell ar trebui prioritizată, mai ales atunci când este combinată cu:

• o linie de comandă neobișnuită sau codificată;

• crearea de fișiere în directoare temporare;

• descărcări externe;

• crearea de activități programate;

• modificarea instrumentelor de securitate;

• conexiuni de rețea de ieșire neașteptate.

Activitatea din jurul browserului poate oferi, de asemenea, un context util. Analiștii pot examina sesiunea utilizatorului, versiunea browserului, adresele URL recente dacă sunt disponibile și alertele de la endpoint din același interval de timp.

Strategie de reglare

Evitați excluderile largi, precum ignorarea tuturor evenimentelor chrome.exe → cmd.exe. În schimb, identificați mecanismul legitim exact responsabil pentru evenimentele recurente și creați excepții cu domeniu restrâns.

De exemplu, un instrument specific aprobat intern poate produce o relație cunoscută browser-copil pe un set limitat de gazde. Excluderea doar a acelei căi de aplicație sau a acelui tipar de linie de comandă păstrează vizibilitatea în altă parte.

Valoare practică de detecție

Exploatarea browserelor poate fi dificil de identificat doar din traficul de rețea, în special atunci când exploit-ul inițial este de scurtă durată. Telemetria de proces de la endpoint oferă o altă perspectivă.

Monitorizarea browserelor care se comportă brusc precum lansatoare de comenzi poate ajuta astfel la expunerea activității de post-exploatare, chiar și atunci când exploit-ul exact nu este observat direct.