Erkennung der Ausnutzung von CVE-2024-49138
In diesem Projekt untersuchte ich einen simulierten Sicherheitsvorfall auf der LetsDefend-Plattform, bei dem ein Windows-Rechner durch die Ausnutzung von CVE-2024-49138 kompromittiert wurde – einer Privilegienausweitungsschwachstelle im Windows Common Log File System (CLFS)-Treiber. Der Angreifer nutzte diese Schwachstelle aus, um erhöhte Privilegien zu erlangen und über RDP einen Fernzugriff einzurichten.
Wichtige Erkenntnisse
- Identifiziert: Ausnutzung von CVE-2024-49138 durch anomales Prozessverhalten.
- Analysiert: Einsatz eines maskierten Prozesses (
svohost.exe) zur Umgehung der Erkennung.
- Erkannt: Nutzung von Living-off-the-Land-Binaries (LOLBins) und PowerShell-Skripten in der Angriffskette.
- Zugeordnet: Angriffstechniken zum MITRE ATT&CK-Framework für ein besseres Verständnis.
- Empfohlen: Abwehrstrategien zur Verhinderung ähnlicher zukünftiger Vorfälle.
Vorfallübersicht
- Alert-Name: SOC335 - CVE-2024-49138 Ausnutzung erkannt
- Erkennungszeit: 22. Januar 2025, 02:37 Uhr UTC
- Betroffener Hostname: Victor
- IP-Adresse: 172.16.17.207
- Schweregrad: Hoch
- MITRE ATT&CK-Techniken:
- T1059.001 – PowerShell
- T1055 – Prozessinjektion
- T1548 – Missbrauch des Berechtigungserhöhungsmechanismus
- T1068 – Ausnutzung zur Privilegienausweitung
- T1110 – Brute Force
Untersuchungsschritte
1. Analyse des Alarms
Nach Erhalt des Alarms bemerkte ich die Ausführung eines verdächtigen Prozesses namens svohost.exe – eine bewusste Falschschreibung des legitimen svchost.exe. Dieser Prozess wurde von einem ungewöhnlichen Pfad ausgeführt: C:\temp\service_installer\svohost.exe, und wurde von powershell.exe gestartet, was auf potenzielle bösartige Aktivitäten hindeutet.
2. Prozessbaum-Untersuchung
Mithilfe des Endpoint-Sicherheitsmoduls der LetsDefend-Plattform verfolgte ich den Prozessbaum:
- Übergeordneter Prozess:
powershell.exe
- Untergeordneter Prozess:
svohost.exe
- Befehlszeile:
\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
Diese Sequenz deutete auf die Verwendung von PowerShell zur Ausführung einer bösartigen Binärdatei hin, die wiederum conhost.exe mit verdächtigen Parametern aufrief.
3. Netzwerkaktivität
Die weitere Analyse ergab eine erfolgreiche Remote Desktop Protocol (RDP)-Anmeldung von einer bekannten bösartigen IP-Adresse: 185.107.56.141. Dies bestätigte, dass der Angreifer Fernzugriff auf das kompromittierte System erlangt hatte.
4. Indikatoren für eine Kompromittierung (IOCs)
- Datei-Hash:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
- Bösartige IP:
185.107.56.141
- Bösartige URL:
https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
Diese IOCs wurden identifiziert und für den weiteren Austausch von Bedrohungsinformationen und zur Blockierung dokumentiert.
- LetsDefend-Plattform: Zur Alarmüberwachung, Prozessanalyse und Simulation der Incident Response.
- VirusTotal & Hybrid Analysis: Zur Analyse des Verhaltens und des Rufs der bösartigen Binärdatei.
- MITRE ATT&CK-Framework: Zur Zuordnung der Angriffstechniken und zum Verständnis der Taktiken des Angreifers.
- PowerShell- und Befehlszeilenanalyse: Zur Untersuchung der in der Angriffskette verwendeten Befehle.
Empfehlungen
- Isolieren Sie den betroffenen Host: Entfernen Sie das kompromittierte System sofort aus dem Netzwerk, um eine seitliche Ausbreitung zu verhindern.
- Widerrufen und rotieren Sie Anmeldeinformationen: Ändern Sie alle Passwörter, die mit dem betroffenen System und möglicherweise kompromittierten Konten verbunden sind.
- Blockieren Sie bösartige IPs und URLs: Aktualisieren Sie die Firewall- und Proxy-Einstellungen, um die Kommunikation mit bekannten bösartigen Entitäten zu verhindern.
- Wenden Sie Sicherheitspatches an: Stellen Sie sicher, dass alle Systeme mit den neuesten Sicherheitspatches aktualisiert sind, insbesondere bezüglich CVE-2024-49138.
- Implementieren Sie die Multi-Faktor-Authentifizierung (MFA): Insbesondere für Fernzugriffsdienste wie RDP, um eine zusätzliche Sicherheitsebene zu schaffen.
bridg3ops/soc335-cve-2024-49138-exploitation-detected
