mohamedbrek/soc335-cve-2024-49138-exploitation-detectedمختبر LetsDefend SOC للتحقيق في استغلال CVE-2024-49138 والنشاط الخبيث ذي الصلة.
كان هذا أحد تمارين مختبر SOC التي أنجزتها على LetsDefend.
كان التنبيه يتعلق بـ CVE-2024-49138. قمت بالتحقيق في التنبيه، وفحصت تجزئة مشبوهة على VirusTotal، وبحثت في السجلات المتاحة عن أي نشاط ذي صلة.
قمت بإرسال التجزئة المشبوهة إلى VirusTotal.
التجزئة:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
نتيجة VirusTotal:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
بحثت في سجلات LetsDefend باستخدام المؤشرات التي وجدتها أثناء التحقيق.
بعض الأشياء التي بحثت عنها كانت:
النتائج:
قمت بتصفية السجلات لعنوان IP: 172.16.17.207 ولاحظت:
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
وفقًا للتحقيق، أظهر المضيف الضحية أنشطة طبيعية ثم خضع لاتصال RDP ناجح بالإضافة إلى اتصال صادر مع خادم Java البعيد.
علاوة على ذلك، خلص فحص التجزئة أيضًا إلى أن الملف svohost.exe كان خبيثًا.
لقطات الشاشة من التحقيق محفوظة في مجلد screenshots.
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
شكرًا لك على الوقت الذي قضيته في الاطلاع على هذا المشروع.
أنا أوثّق رحلتي في تعلّم الأمن السيبراني من خلال إكمال مختبرات عملية في الشبكات، وLinux، والتحقيق الجنائي الرقمي، والحوسبة السحابية، وتحليل SOC. لا تتردد في استكشاف مستودعاتي الأخرى لمعرفة ما أتعلمه بعد ذلك.
