透過 Sysmon 偵測 Notepad++ CVE-2025-49144 漏洞

雖然文字編輯器鮮少被視為高風險資產，但 CVE-2025-49144 揭示了 Notepad++ 安裝程式中一條危險的本地特權提升 (LPE) 路徑。透過濫用不安全的執行檔搜尋行為，低權限使用者即可取得 SYSTEM 層級的執行權限。

步驟 1：識別受威脅的端點

使用 Sysmon 程序建立事件 (Event ID 1) 來定位執行舊版 Notepad++ 的主機。搜尋檔案版本元數據與已修復版本 (8.8.2) 不符的端點。

process_name:notepad\+\+.exe AND NOT file_version:8.8.2

步驟 2：高保真度威脅狩獵查詢

為了偵測實際的攻擊行為，我們尋找以 SYSTEM 權限執行、且路徑非標準 Windows 系統資料夾的 regsvr32.exe，特別是當其與 Notepad++ 殼層組件交互時。

(((process_command_line: /.*[\\]contextMenu[\\]NppShell\.dll.*/)
AND (process_path: /.*[\\]regsvr32\.exe/)
AND (process_command_line: /regsvr32 \/s.*/))
AND NOT (process_path: (/C:[\\]Windows[\\]System32[\\]regsvr32\.exe/ 
OR /C:[\\]Windows[\\]SysWOW64[\\]regsvr32\.exe/)))

步驟 3：部署 Sigma 偵測規則

為了實現自動化偵測，請部署以下 Sigma 規則，以標記 Windows 環境中可疑的註冊嘗試。

title: Potential Notepad++ CVE-2025-49144 Exploitation
status: experimental
description: 偵測 Notepad++ 安裝程式在未指定完整路徑的情況下調用 regsvr32.exe 的行為。
logsource:
    product: windows
    category: process_creation
detection:
    selection:
        Image|endswith: '\regsvr32.exe'
        CommandLine|startswith: 'regsvr32 /s'
        CommandLine|contains: '\contextMenu\NppShell.dll'
    filter_legit:
        Image:
            - 'C:\Windows\System32\regsvr32.exe'
            - 'C:\Windows\SysWOW64\regsvr32.exe'
    condition: selection and not filter_legit
level: high

最後總結

CVE-2025-49144 提醒我們，特權提升往往隱藏在日常的管理工作流程中。透過監控發生在 System32 之外的 SYSTEM 執行行為，資安團隊能在攻擊者建立持久性存取之前將其瓦解。