Microsoft Management Console este o componentă Windows legitimă, dar execuția fișierelor .msc din locații modificabile de utilizator poate oferi un semnal util pentru vânătoare atunci când se investighează livrarea malițioasă sau exploatarea handler-elor de fișiere.
Sursa definește o detecție focalizată pentru mmc.exe care deschide fișiere MSC din locații unde poate apărea conținut descărcat sau controlat de atacator.
Focalizarea detecției
Interogarea caută linii de comandă MMC care fac referire la fișiere .msc din:
Downloads;
AppData;
Temp;
Users\Public.
Sursa conectează în mod specific această vânătoare cu CVE-2025-26633 și cu tehnici similare de livrare prin MMC.
Interogarea de detecție
data.win.system.eventID:1 and data.win.eventdata.image:*\mmc.exe and data.win.eventdata.commandLine:(*\Downloads\*.msc or *\AppData\*.msc or *\Temp\*.msc or *\Users\Public\*.msc)
Sursa a înregistrat zero potriviri în ultimele 30 de zile.
De ce contează locația
MMC în sine nu este suspect. Valoarea vine din locația fișierului MSC care este deschis.
Fișierele aflate în directoarele de administrare a sistemului pot fi așteptate. Un fișier MSC recent descărcat, deschis dintr-un profil de utilizator sau dintr-un director temporar, este mai neobișnuit și poate fi prioritizat pentru examinare.
Acest tip de detecție contextuală este valoros deoarece reduce dependența de un anumit nume de fișier sau hash.
Fluxul de investigare
Dacă interogarea produce o potrivire, analiștii ar trebui să examineze:
calea completă a fișierului MSC;
momentul creării fișierului;
activitatea din browser sau e-mail înainte de execuție;
utilizatorul care a lansat MMC;
procesul-părinte al
mmc.exe;orice procese-copil create de MMC;
activitatea de rețea după execuție.
Dacă MMC lansează cmd.exe, PowerShell, mshta.exe sau un alt utilitar de sistem, evenimentul devine semnificativ mai suspect.
Considerații de reglare
Unele instrumente de întreprindere pot distribui fișiere MSC legitime în directoare accesibile utilizatorului. Aceste cazuri ar trebui documentate și excluse folosind cel mai mic domeniu practic.
O excepție bună ar putea include un nume de fișier, o cale, un editor, un hash sau un proces de management cunoscut, mai degrabă decât eliminarea unui întreg director din vânătoare.
De ce o regulă cu zero rezultate poate fi totuși valoroasă
O detecție nu are nevoie de potriviri frecvente pentru a fi utilă. De fapt, o regulă cu volum redus poate deveni mai acționabilă deoarece orice potrivire viitoare se remarcă.
Pentru mediile în care utilizatorii execută rareori fișiere MSC descărcate, această regulă poate servi ca o detecție focalizată de avertizare timpurie pentru comportamentul MMC suspect.
