Procesele care rulează cu integritate SYSTEM provin în mod normal din locații Windows sau de aplicație de încredere. Atunci când un proces la nivel SYSTEM se execută dintr-un director accesibil pentru scriere de către utilizator, această combinație poate oferi un semnal util de escaladare a privilegiilor.
Sursa definește o vânătoare comportamentală exact pentru această condiție.
Logica de detectare
Interogarea necesită:
Sysmon Process Creation, Event ID 1;
nivelul de integritate setat la
System;fie imaginea procesului, fie imaginea procesului părinte aflată sub
Users,ProgramDatasauTemp.
data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))
Sursa asociază această vânătoare cu vulnerabilități zero-day de escaladare locală a privilegiilor din 2025 și 2026 care afectează kernel-ul Windows, CLFS, AFD, Win32k, DWM, Defender și altele.
A înregistrat 1.638 de potriviri în ultimele 30 de zile.
De ce contează locațiile accesibile pentru scriere de către utilizatori
Directoarele precum folderele temporare și anumite părți ale profilurilor de utilizator pot fi în mod obișnuit scrise de utilizatori standard sau de aplicații. Execuția la nivel SYSTEM din aceste locații este, prin urmare, mai interesantă decât execuția din directoare Windows de încredere.
Acest comportament nu este automat rău intenționat. Programele de instalare, mecanismele de actualizare sau agenții de management din întreprindere pot plasa în mod legitim fișiere sub locații temporare sau partajate.
Valoarea provine din identificarea execuției SYSTEM în care calea, procesul părinte sau fișierul nu fac parte din linia de bază aprobată.
Priorități în investigare
Pentru fiecare eveniment, examinați:
calea completă a executabilului;
procesul părinte;
momentul creării fișierului;
semnătura digitală;
hash-ul;
utilizatorul asociat activității inițiale;
linia de comandă;
lanțul de procese anterior;
procesele copil suplimentare la nivel SYSTEM.
Dacă executabilul a apărut cu puțin timp înainte de execuție, identificați care proces l-a creat.
Linia de bază și reglarea
Deoarece sursa a returnat peste o mie de evenimente, este necesară o reglare specifică mediului.
Începeți prin gruparea rezultatelor după:
calea executabilului;
procesul părinte;
numele gazdei;
semnatar;
hash.
Execuția repetată a unui updater semnat cunoscut poate fi documentată. Fișierele binare nesemnate și rare aflate sub Temp sau într-un director de utilizator merită mai multă atenție.
Oportunități de corelare
Această vânătoare devine mai puternică atunci când este combinată cu:
blocări legate de exploit-uri;
activitate suspectă în browser sau Office;
modificarea controalelor de securitate;
extragerea de credențiale;
persistență;
pregătirea pentru ransomware.
Un lanț de la execuție la nivel de utilizator la crearea unui proces la nivel SYSTEM, urmat de acces la credențiale sau persistență, este deosebit de important.
Valoare operațională
Regula oferă o modalitate generică de a vâna escaladarea privilegiilor fără a necesita o semnătură pentru un exploit specific de kernel.
Concentrându-se pe integritatea SYSTEM plus căi de execuție neobișnuite, apărătorii pot identifica un comportament care poate apărea în cadrul mai multor vulnerabilități de escaladare locală a privilegiilor.
