Aplicațiile Windows pot declanșa uneori autentificarea SMB atunci când accesează căi special create sau resurse la distanță. Dacă destinația nu este de încredere, acest comportament poate expune materialul de autentificare NTLM și poate deveni o problemă de securitate a credențialelor.
Sursa include vânători de rețea și DNS focalizate pe acest scenariu și face referire în mod specific la CVE-2025-24054.
Detecția de rețea
Prima interogare caută în evenimentele de rețea Sysmon portul de destinație 445 și limitează procesul de origine la aplicații precum Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost sau DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
Sursa notează că traficul TCP/445 direcționat către internet ar trebui tratat ca prioritate ridicată.
Detecția DNS
O a doua interogare caută în evenimentele DNS Sysmon generate de procese implicate frecvent în același tip de acces la resurse:
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
Sursa a înregistrat zero rezultate care se potrivesc în ultimele 30 de zile.
De ce contextul este critic
SMB este legitim în multe medii Windows interne. O conexiune de la Explorer către un server de fișiere intern poate fi complet așteptată.
Riscul se schimbă atunci când o aplicație Office sau o componentă de shell Windows încearcă să se conecteze prin SMB către o adresă externă sau nefamiliară.
De aceea, analiștii ar trebui să îmbogățească informațiile despre destinație cu:
clasificarea internă versus externă;
reputația numelui de gazdă și a domeniului;
identitatea utilizatorului;
documentul sau fișierul de origine;
interogările DNS precedente;
jurnalele de autentificare.
Fluxul de investigare
Dacă apare o conexiune suspectă, examinați activitatea aplicației imediat înainte de aceasta.
De exemplu, determinați dacă:
a fost deschis un document;
a fost accesată o arhivă sau o comandă rapidă;
a avut loc o descărcare din browser;
un fișier conținea o cale UNC externă;
o cerere DNS s-a rezolvat către o destinație neașteptată.
Scopul este de a înțelege de ce aplicația Windows a încercat să se autentifice prin SMB.
Reglarea
Activitatea SMB internă poate crea zgomot semnificativ dacă interogarea este utilizată fără context de destinație. O regulă practică de producție ar trebui, prin urmare, să prioritizeze destinațiile externe și intervalele de rețea cunoscute ca fiind neîncredibile.
Serverele de fișiere interne și infrastructura aprobată pot fi excluse folosind controale explicite de destinație.
Valoarea detecției
Sursa nu a înregistrat nicio potrivire, dar regula rămâne utilă deoarece scurgerea de credențiale prin SMB poate fi extrem de acționabilă atunci când are loc către internet.
Monitorizarea combinației dintre aplicație, protocolul de rețea și contextul destinației oferă o modalitate focalizată de a identifica comportamentul suspect de expunere NTLM.
