bridg3ops/soc335-cve-2024-49138-exploitation-detected# تحليل تفصيلي للاستجابة للحوادث لاستغلال CVE-2024-49138 على ويندوز، مع تغطية تحليل شجرة العمليات، وتحديد مؤشرات الاختراق (IOC)، وربطها بإطار MITRE ATT&CK للكشف والتخفيف.
في هذا المشروع، قمت بالتحقيق في حادثة أمنية محاكاة على منصة LetsDefend، حيث تم اختراق جهاز يعمل بنظام Windows من خلال استغلال ثغرة CVE-2024-49138 — وهي ثغرة تصعيد صلاحيات في برنامج تشغيل نظام ملفات السجل المشترك (CLFS) في Windows. استغل المهاجم هذه الثغرة للحصول على صلاحيات مرتفعة وإنشاء وصول عن بُعد عبر RDP.
svohost.exe) لتجنب الكشف.عند استلام التنبيه، لاحظت تنفيذ عملية مشبوهة باسم svohost.exe — وهو خطأ إملائي متعمد للعملية الشرعية svchost.exe. تم تنفيذ هذه العملية من مسار غير معتاد: C:\temp\service_installer\svohost.exe، وتم إطلاقها بواسطة powershell.exe، مما يشير إلى نشاط ضار محتمل.
باستخدام وحدة أمان نقطة النهاية في منصة LetsDefend، تتبعت شجرة العمليات:
powershell.exesvohost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1يشير هذا التسلسل إلى استخدام PowerShell لتنفيذ ملف ثنائي ضار، والذي بدوره استدعى conhost.exe مع معاملات مشبوهة.
كشف التحليل الإضافي عن تسجيل دخول ناجح لبروتوكول سطح المكتب البعيد (RDP) من عنوان IP ضار معروف: 185.107.56.141. أكد ذلك أن المهاجم حصل على وصول عن بُعد إلى النظام المخترق.
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9185.107.56.141https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zipتم تحديد وتوثيق مؤشرات الاختراق هذه لمشاركة معلومات التهديدات وحظرها في المستقبل.