Expondo Scripts Suspeitos via CrushFTP com Uncoder AI no Microsoft Defender

Serviços de transferência de arquivos como CrushFTP são críticos para operações comerciais — mas também podem ser usados como plataformas de lançamento furtivas para atividades pós-exploração. Quando um processo de servidor, como crushftpservice.exe gera interpretadores de linha de comando como powershell.exe , cmd.exe , ou bash.exe , pode sinalizar que um invasor está executando comandos ou implantando cargas sem chamar atenção.

In Microsoft Defender para Endpoint, tal atividade pode ser capturada usando Kusto Query Language (KQL). Mas dissecar a lógica da regra leva tempo — especialmente quando estão envolvidos múltiplos caminhos de processo e padrões de execução.

Com o Resumo Curto do Uncoder AI, os analistas não precisam mais interpretar cada condição manualmente. Em vez disso, eles obtêm uma explicação clara e imediata.

Explore o Uncoder AI

Visão Geral da Lógica de Detecção

A regra de detecção KQL dispara quando:

• Um processo (DeviceProcessEvent) é iniciado onde o caminho da pasta do processo de origem termina com crushftpservice.exe.
  
  
• O caminho da pasta do novo processo filho termina com um dos seguintes binários de script ou linha de comando:
  
  
  • bash.exe
    
    
  • cmd.exe
    
    
  • cscript.exe
    
    
  • mshta.exe
    
    
  • powershell.exe
    
    
  • powershell_ise.exe
    
    
  • pwsh.exe
    
    
  • sh.exe
    
    
  • wscript.exe

Cada um desses executáveis é comumente abusado em cenários pós-comprometimento para obter acesso ao shell, executar scripts ou lançar malware.

O que o Resumo do Uncoder AI Entregou

Aqui está como o Uncoder AI simplificou a lógica:

“Esta consulta KQL (Kusto Query Language) do Microsoft Defender para Endpoint detecta atividade potencialmente maliciosa ao identificar eventos de processo de dispositivo onde o processo de origem é crushftpservice.exe e o processo executado é um interpretador de linha de comando ou motor de script conhecido, como bash.exe , cmd.exe, powershell.exe, etc.”

Em vez de revisar a lógica de caminho de pasta pesada em regex, os analistas entendem instantaneamente o comportamento que está sendo sinalizado —da fonte de lançamento à intenção de execução.