• Es wurden ungewöhnliche oder verdächtige Verhaltensmuster im Zusammenhang mit dem Hash identifiziert, die auf eine mögliche Ausnutzung von CVE-2024-49138 hindeuten.

Vorfallreaktionsfall: Anmeldefehler und Schadsoftware-Untersuchung

Dieses Repository dokumentiert einen Vorfallreaktionsfall mit Anmeldefehlern, Erkennung bösartiger Aktivitäten und Eindämmungsmaßnahmen.

Übersicht der Untersuchung

Wir beginnen mit der Untersuchung des eingegangenen Alarms und analysieren anschließend die Protokolle aus dem Log-Management und der Endpunktsicherheit.

Alert und Protokolle

Alert-Zusammenfassung:

• Fehlercode: 0xC000006D

Übersetzung:

• STATUS_LOGON_FAILURE: Zeigt an, dass ein Anmeldeversuch fehlgeschlagen ist, meist aufgrund falscher Anmeldedaten.

Beobachtete Protokolle:

Es gibt mehrere Betriebssystemtypen, wobei entweder Admin- oder Gastkonten den Fehlercode 0xC000006D aufweisen.

Hash-Analyse

Wir haben den im Alert bereitgestellten Hash analysiert und als bösartig bestätigt. Die Zuordnung zum MITRE ATT&CK-Rahmenwerk und das Verhalten der Schadsoftware wurden ebenfalls validiert.

Analyse der Terminalhistorie

Durch die Überprüfung der Terminalhistorie haben wir verdächtige Aktivitäten identifiziert, einschließlich eines $url-Befehls, der eine potenziell bösartige URL abruft.

Playbook-Ausführung

Anhand der gesammelten Informationen haben wir die entsprechenden Playbook-Schritte für diesen Fall durchgeführt.

Wichtigste Erkenntnisse:

• Schadsoftware als bösartig bestätigt.
• Eindämmungsstatus: Nicht erreicht (zum Zeitpunkt der Überprüfung von Protokollen und Endpunkt).

Command-and-Control (C2)-Analyse

Wir haben das Verhalten der Schadsoftware über AnyRun analysiert und die Command-and-Control (C2)-Adresse identifiziert. Dies wurde durch die Analyse des Netzwerkverhaltens bestätigt.

Statusaktualisierung:

• C2-Adresse: Zugegriffen

Eindämmung und Behebung

Eindämmung:

Wir haben das betroffene Gerät erfolgreich eingedämmt.

Fallabschluss:

Wir haben den Fall mit SOC-Analysten-Notizen und der Dokumentation der Playbook-Ausführung abgeschlossen.

Fazit

Der Fall wurde mit einer abschließenden Überprüfung und Bewertung abgeschlossen, um die Genauigkeit der während der Untersuchung ergriffenen Maßnahmen zu beurteilen.

Wichtigste Erkenntnisse

1. Fehlercode-Analyse: Das Verständnis von 0xC000006D-Anmeldefehlern ist entscheidend für die Identifizierung verdächtiger Aktivitäten.
2. Hash-Validierung: Bestätigen Sie Alarme immer anhand bekannter Schadsoftwaredatenbanken.
3. Terminalanalyse: Die Terminalhistorie bietet wertvolle Einblicke in mögliche Befehlsausführungen.
4. C2-Erkennung: Tools wie AnyRun können die Identifizierung von C2-Adressen vereinfachen.
5. Eindämmung: Eine rechtzeitige Eindämmung verhindert eine weitere Kompromittierung des Netzwerks.

Zusätzliche Ressourcen

• MITRE ATT&CK-Rahmenwerk
• AnyRun-Schadsoftware-Analyse

Dieses Repository dient als Referenz für die Bearbeitung ähnlicher Vorfälle. Beiträge und Diskussionen sind willkommen!

Befehlsanalyse

Befehl 1: C:\Windows\System32\svchost.exe -k termsvcs -s TermService

Erklärung

1. C:\Windows\System32\svchost.exe:

   • Diensthostprozess: Ein zentraler Windows-Systemprozess, der zum Hosten mehrerer Windows-Dienste verwendet wird, die als Dynamic-Link-Bibliotheken (DLLs) implementiert sind.
   • Befindet sich legitim in C:\Windows\System32\.

2. -k termsvcs:

   • Gibt die Dienstgruppe (termsvcs) für diese Instanz von svchost.exe an.
   • Die Gruppe termsvcs ist speziell mit Terminaldiensten verbunden.

3. -s TermService:

   • Gibt den genauen zu startenden Dienst an: Remotedesktopdienste (TermService).
   • Dieser Dienst ermöglicht Remoteverbindungen zum Computer und aktiviert das Remotedesktopprotokoll (RDP).

Zweck von TermService

• Remotedesktopdienste:
  • Verwaltet Remotedesktopverbindungen, einschließlich Benutzersitzungen über RDP.
  • Wesentlich für die Aktivierung der Remoteverwaltung oder von Remotedesktopprotokoll-Funktionen.

Befehl 2: C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule

Erklärung

1. C:\Windows\system32\svchost.exe:

   • Diensthostprozess: Ein kritischer Windows-Systemprozess, der zum Hosten von Diensten verwendet wird, die als Dynamic-Link-Bibliotheken (DLLs) implementiert sind.
   • Stellen Sie immer sicher, dass sich diese Datei in C:\Windows\system32\ befindet.

2. -k netsvcs:

   • Gibt die Dienstgruppe (netsvcs) an, die diese Instanz von svchost.exe hostet.
   • Die Gruppe netsvcs umfasst typischerweise netzwerkbezogene und andere wesentliche Dienste.

3. -p:

   • Gibt an, dass der Dienst im persistenten Modus ausgeführt werden soll, sodass er aktiv bleibt und bei Bedarf automatisch neu gestartet wird.

4. -s Schedule:

   • Gibt einen bestimmten Dienst innerhalb der Gruppe an, der geladen werden soll: Taskplaner (Schedule).
   • Der Taskplaner-Dienst verwaltet Aufgaben, die zu bestimmten Zeiten oder als Reaktion auf bestimmte Auslöser ausgeführt werden.

5. Prozess-ID:

   • 1996 ist die Prozess-ID (PID) für die Instanz von svchost.exe, die den Taskplaner-Dienst verwaltet.

Befehl 3: C:\Windows\system32\svchost.exe -k DcomLaunch -p

Erklärung

1. C:\Windows\system32\svchost.exe:

   • Diensthostprozess: Ein zentraler Windows-Systemprozess, der als Host für die Ausführung mehrerer Dienste aus Dynamic-Link-Bibliotheken (DLLs) dient.

2. -k DcomLaunch:

   • Gibt die Dienstgruppe an, die der Prozess hostet.
   • DcomLaunch: Bezieht sich auf den DCOM-Serverprozess-Starter, der für das Starten von DCOM-Diensten (Distributed Component Object Model) verantwortlich ist.

3. -p:

   • Gibt an, dass der Prozess persistent sein und bei unerwarteter Beendigung neu gestartet werden soll.

Zweck von DcomLaunch

• Systemkomponente: Entscheidend für viele Windows-Operationen, wie die Kommunikation zwischen Anwendungen, das Aktivieren von Prozessen und die Bearbeitung von systemweiten RPC-Anforderungen.
• Abhängigkeiten: Viele Kerndienste, einschließlich Windows Update und COM-bezogene Anwendungen, sind auf diesen Prozess angewiesen.

Taskhostw.exe und Schlüssel-Roaming

taskhostw.exe

• Task Host Window: Ein generischer Hostprozess für Windows-Aufgaben.
• Speicherort: Die legitime ausführbare Datei befindet sich in C:\Windows\System32\.

Schlüssel-Roaming

• Eine Windows-Funktion, die Anmeldeinformations-Roaming für Zertifikate und private Schlüssel über Geräte in einer Active Directory-Umgebung ermöglicht.

Verbindung:

• Wenn taskhostw.exe mit Schlüssel-Roaming interagiert, könnte dies auf Hintergrundaufgaben hinweisen, die Anmeldeinformationen in einer Active Directory-Umgebung synchronisieren.