Sursa definește mai multe căutări pentru zero-day-ul Windows CLFS și lanțul de exploatare PipeMagic, inclusiv activitatea asociată cu CVE-2025-29824 și comportamentul de ransomware ulterior.
În loc să se bazeze pe un singur indicator, abordarea de căutare acoperă comenzi de pregătire, hash-uri cunoscute, infrastructura de comandă și control și named pipes.
Pregătirea prin certutil și MSBuild
Prima interogare caută certutil.exe care descarcă sau procesează conținut de la distanță, precum și execuții MSBuild sau .NET care fac referire la directoare accesibile utilizatorului:
data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))
Sursa a înregistrat 44 de evenimente potrivite în ultimele 30 de zile.
Hash-uri PipeMagic publicate
A doua interogare caută în datele de hash ale proceselor trei valori publicate:
data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)
Sursa a înregistrat zero potriviri.
Indicatori C2 și named-pipe
A treia interogare caută un nume de gazdă publicat și un tipar de named-pipe:
(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)
Sursa a înregistrat din nou zero potriviri.
Interpretarea celor 44 de evenimente de pregătire
Interogarea de pregătire este mai largă decât indicatorii de hash și C2. Certutil, MSBuild și dotnet sunt instrumente legitime, așa că acele 44 de evenimente necesită o examinare contextuală.
Analiștii ar trebui să prioritizeze:
URL-uri de la distanță;
execuția din Temp sau ProgramData;
procese părinte neobișnuite;
payload-uri nesemnate;
activitate cu puțin timp înainte de escaladarea privilegiilor sau de comenzi de ransomware.
De ce contează diversitatea indicatorilor
Hash-urile și indicatorii de infrastructură sunt preciși, dar pot deveni învechiți sau se pot schimba de la o campanie la alta. Regulile comportamentale de pregătire sunt mai largi și pot detecta activitate aferentă chiar și atunci când o mostră cunoscută nu este prezentă.
Prin urmare, cea mai puternică strategie de căutare le combină pe ambele.
Fluxul de investigație
Pentru un eveniment de pregătire, examinați fișierul descărcat sau executat, calculați hash-urile, verificați destinațiile de rețea, inspectați procesul părinte și corelați cu execuția SYSTEM ulterioară sau cu comportamentul de ransomware.
Valoarea operațională
Acest set de căutări oferă o perspectivă stratificată asupra lanțului de exploatare: comportament generic de pregătire, artefacte de malware cunoscute și indicatori de comunicare cunoscuți.
Această combinație este utilă atât pentru căutarea specifică unei campanii, cât și pentru ingineria de detecție mai largă.
