Documentele malițioase, arhivele special create și vulnerabilitățile handler-elor de fișiere se bazează adesea pe o aplicație de utilizator de încredere pentru a ajunge la execuția de cod nativ. Relațiile dintre procesele de la nivelul endpoint-ului pot ajuta la evidențierea acestei tranziții.
Sursa definește o vânătoare pentru aplicațiile Microsoft Office, Adobe Reader, utilitarele de arhivare, Windows Explorer și Microsoft Management Console care generează shell-uri de comandă și alte procese-copil suspecte.
Aplicațiile incluse în vânătoare
Lista proceselor-părinte include:
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
Lista proceselor-copil suspecte include shell-uri de comandă, motoare de scripting, LOLBins, utilitare pentru sarcini programate și Windows Installer.
Interogarea de detecție
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
Sursa asociază această vânătoare cu vulnerabilități legate de documente malițioase și de handler-e de fișiere, inclusiv CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218 și zero-day-uri ulterioare din Office sau Windows Shell.
Interogarea a returnat 621 de rezultate în ultimele 30 de zile.
Interpretarea comportamentului
Nu orice proces-copil este malițios. Unele documente conțin automatizare legitimă, software-ul de întreprindere poate înregistra handler-e de fișiere, iar utilitarele de arhivare pot invoca aplicații ajutătoare.
Întrebarea importantă este dacă relația dintre procese este așteptată pentru utilizatorul, gazda și fluxul de lucru specific.
De exemplu, winword.exe → powershell.exe pe o stație de lucru de birou obișnuită este substanțial mai interesant decât un instrument de implementare cunoscut care invocă msiexec.exe.
Pași de investigare
Pentru fiecare eveniment suspect, examinați:
aplicația-părinte originală;
fișierul care este deschis, dacă este disponibil;
argumentele din linia de comandă;
identitatea utilizatorului;
calea sursă a documentului sau a arhivei;
hash-urile fișierelor;
conexiunile de rețea;
procesele-copil suplimentare;
fișierele create după execuție.
Dacă lanțul continuă către utilitare de descărcare, interpretoare de scripturi sau comenzi de persistență, evenimentul ar trebui să primească o prioritate mai mare.
Reducerea fals-pozitivelor
Începeți prin gruparea rezultatelor după perechea de procese și linia de comandă. Cele 621 de evenimente din sursă se pot reduce la un număr mic de tipare legitime repetate.
Excepțiile bune sunt înguste și explicabile. Ele ar trebui să descrie un flux de lucru aprobat specific, mai degrabă decât să elimine o întreagă aplicație din monitorizare.
Valoarea detecției
Această vânătoare este utilă deoarece nu necesită o semnătură pentru fiecare document sau arhivă malițioasă. Ea monitorizează comportamentul care urmează adesea unei exploatări reușite.
Acest lucru o face un strat practic de detecție pentru mediile endpoint în care fișierele Office, arhivele, PDF-urile și consolele administrative rămân suprafețe de atac frecvente.
