I servizi di trasferimento file come CrushFTP sono fondamentali per le operazioni aziendali, ma possono anche essere utilizzati come piattaforme di lancio furtive per attività post-sfruttamento. Quando un processo del server come crushftpservice.exe genera interpreti da riga di comando come powershell.exe , cmd.exe , o bash.exe , potrebbe segnalare che un attaccante sta eseguendo comandi o distribuendo payload sotto radar.
In Microsoft Defender per Endpoint, tali attività possono essere catturate utilizzando il Kusto Query Language (KQL). Ma analizzare la logica delle regole richiede tempo, soprattutto quando sono coinvolti più percorsi di processo e modelli di esecuzione.
Con il Riepilogo Breve di Uncoder AI, gli analisti non devono più interpretare manualmente ogni condizione. Ricevono invece una spiegazione chiara e immediata.
Panoramica della Logica di Rilevamento
La regola di rilevamento KQL si attiva quando:
-
Un processo (DeviceProcessEvent) viene avviato in cui il percorso della cartella del processo iniziale termina con
crushftpservice.exe.
-
Il percorso della nuova cartella del processo figlio termina con uno dei seguenti binari di scripting o riga di comando:
-
bash.exe
-
cmd.exe
-
cscript.exe
-
mshta.exe
-
powershell.exe
-
powershell_ise.exe
-
pwsh.exe
-
sh.exe
wscript.exe
-
Ognuno di questi eseguibili è comunemente abusato in scenari post-compromissione per ottenere l’accesso alla shell, eseguire script o lanciare malware.
Cosa ha fornito il Riepilogo di Uncoder AI
Ecco come Uncoder AI ha semplificato la logica:
“Questa query del Microsoft Defender per Endpoint KQL (Kusto Query Language) individua potenziali attività malevoli identificando gli eventi del processo del dispositivo in cui il processo iniziale è crushftpservice.exe e il processo eseguito è un noto interprete da riga di comando o motore di scripting, come bash.exe , cmd.exe, powershell.exe, ecc.”
Invece di esaminare la logica del percorso della cartella ricca di regex, gli analisti capiscono istantaneamente il comportamento segnalato—dalla sorgente di lancio all’intento di esecuzione.
