تحقيق LetsDefend: CVE-2024-49138

🔍 نظرة عامة

تحقيق عملي في SOC ومحاكاة استجابة للحوادث باستخدام LetsDefend، مع التركيز على استغلال حقيقي لـ CVE-2024-49138 — ثغرة تصعيد الامتيازات في برنامج تشغيل Windows CLFS.

📅 تفاصيل الحدث

• معرف الحدث: 313
• نوع الحادث: تصعيد الامتيازات
• وقت الحدث: 22 يناير 2025
• اسم المضيف: Victor
• عنوان IP: 172.16.17.207
• الملف الثنائي الخبيث: svohost.exe
• العملية الأم: powershell.exe
• الأمر المشبوه: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ الأدوات المستخدمة

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — لفك تشفير أوامر PowerShell وتحليل السلوك
• بيئة مختبر LetsDefend

🧠 مؤشرات الاختراق

• التجزئة: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• URL خبيث: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• IP خبيث: 185.107.56.141

🧩 النتائج الرئيسية

• تم تحديد ملف ثنائي نظام مزيف (svohost.exe) يستخدم لتصعيد الامتيازات.
• تم ربط النشاط بتقنيات MITRE ATT&CK.
• تم استخدام مجموعة أدوات متعددة الطبقات للحصول على رؤية كاملة (EDR، الحماية في بيئة معزولة، التحليل الثابت/الديناميكي، الذكاء الاصطناعي).
• تم اكتساب رؤية حول طرق توصيل البرامج الضارة القائمة على PowerShell.

🏁 النتيجة

تم بنجاح فرز الحادث والتحقيق فيه وتوثيق سلسلة الهجوم باستخدام CVE-2024-49138. ساعد هذا المختبر في تعزيز مهاراتي في الاستجابة للحوادث والتحليل السلوكي واكتشاف التهديدات.

🔎 لقطات شاشة التحقيق

التنبيه الذي تم تشغيله في LetsDefend

نتيجة VirusTotal للتجزئة الخبيثة

🔬 تحليل شجرة العمليات

🧪 استخدام PowerShell و AbuseIPDB

📋 ملاحظات الحادث

🪟 آثار Windows

✅ الإغلاق النهائي / المهمة مميزة

---

“الحصول على تحسن بنسبة 1% كل يوم.”