LetsDefend Untersuchung: CVE-2024-49138

🔍 Überblick

Praktische SOC-Untersuchung und Incident-Response-Simulation mit LetsDefend, fokussiert auf eine reale Ausnutzung von CVE-2024-49138 — eine Privilegienausweitung-Schwachstelle im Windows CLFS-Treiber.

📅 Ereignisdetails

• Ereignis-ID: 313
• Vorfallstyp: Privilegienausweitung
• Ereigniszeit: 22. Januar 2025
• Hostname: Victor
• IP-Adresse: 172.16.17.207
• Schädliche Binärdatei: svohost.exe
• Übergeordneter Prozess: powershell.exe
• Verdächtiger Befehl: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ Verwendete Werkzeuge

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — Zum Dekodieren von PowerShell-Befehlen und zur Verhaltensanalyse
• LetsDefend Lab-Umgebung

🧠 Indikatoren für Kompromittierung

• Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• Schädliche URL: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• Schädliche IP: 185.107.56.141

🧩 Wichtige Erkenntnisse

• Identifizierte gefälschte System-Binärdatei (svohost.exe), die zur Privilegienausweitung verwendet wurde.
• Aktivität MITRE ATT&CK-Techniken zugeordnet.
• Verwendete eine mehrschichtige Werkzeugsammlung für vollständige Sichtbarkeit (EDR, Sandboxing, statische/dynamische Analyse, KI).
• Einblicke in PowerShell-basierte Malware-Verteilungsmethoden gewonnen.

🏁 Ergebnis

Erfolgreich triagiert, untersucht und dokumentiert die Angriffskette unter Ausnutzung von CVE-2024-49138. Dieses Labor half, meine Fähigkeiten in Incident Response, Verhaltensanalyse und Bedrohungserkennung zu festigen.

🔎 Untersuchungs-Screenshots

Alarm in LetsDefend ausgelöst

VirusTotal-Ergebnis für schädlichen Hash

🔬 Prozessbaum-Analyse

🧪 PowerShell- und AbuseIPDB-Nutzung

📋 Vorfallsnotizen

🪟 Windows-Artefakte

✅ Abschluss / Aufgabe als erledigt markiert

---

„Jeden Tag 1% besser werden.“