Exposición de secuencias de comandos sospechosas a través de CrushFTP con Uncoder AI en Microsoft Defender

Los servicios de transferencia de archivos como CrushFTP son críticos para las operaciones comerciales, pero también pueden ser utilizados como plataformas de lanzamiento sigilosas para actividades posteriores a la explotación. Cuando un proceso de servidor como crushftpservice.exe inicia intérpretes de línea de comandos como powershell.exe , cmd.exe , o bash.exe , puede señalar que un atacante está ejecutando comandos o desplegando cargas útiles sin ser detectado.

In Microsoft Defender for Endpoint, tal actividad se puede capturar utilizando Kusto Query Language (KQL). Pero desglosar la lógica de la regla toma tiempo, especialmente cuando se involucran múltiples rutas de proceso y patrones de ejecución.

Con el Resumen Breve de Uncoder AI, los analistas ya no necesitan interpretar cada condición manualmente. En su lugar, obtienen una explicación clara e inmediata.

Explore Uncoder AI

Visión General de la Lógica de Detección

La regla de detección de KQL se activa cuando:

• Un proceso (DeviceProcessEvent) se lanza donde la ruta de la carpeta del proceso iniciador termina con crushftpservice.exe.
  
  
• La nueva ruta de la carpeta del proceso hijo termina con uno de los siguientes binarios de script o de línea de comandos:
  
  
  • bash.exe
    
    
  • cmd.exe
    
    
  • cscript.exe
    
    
  • mshta.exe
    
    
  • powershell.exe
    
    
  • powershell_ise.exe
    
    
  • pwsh.exe
    
    
  • sh.exe
    
    
  • wscript.exe

Cada uno de estos ejecutables se abusa comúnmente en escenarios posteriores al compromiso para obtener acceso a la shell, ejecutar scripts o lanzar malware.

Lo que entregó el Resumen de Uncoder AI

Así es como Uncoder AI simplificó la lógica:

“Esta consulta de Microsoft Defender for Endpoint KQL (Kusto Query Language) detecta actividad potencialmente maliciosa identificando eventos de proceso del dispositivo donde el proceso iniciador es crushftpservice.exe y el proceso ejecutado es un conocido intérprete de línea de comandos o motor de scripts, como bash.exe , cmd.exe, powershell.exe, etc.”

En lugar de revisar la lógica de ruta de carpeta pesada en regex, los analistas entienden instantáneamente el comportamiento que está siendo señalado—desde la fuente de lanzamiento hasta la intención de ejecución.