Privilege-Eskalationsfall – SOC335-CVE-2024-49138-Exploitation erkannt

Alertübersicht

Betroffener Hostname:

• Victor

Auslösender Prozess:

• scohost.exe

Übergeordneter Prozess:

• C:\Windows\System32\WINDOWSPOWERSHELL\V1.0\powershell.exe

Datei-Hash:

• b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

Auslösegrund:

• Es wurden ungewöhnliche oder verdächtige Verhaltensmuster im Zusammenhang mit dem Hash identifiziert, die auf eine mögliche Ausnutzung von CVE-2024-49138 hindeuten.

---

Vorfallreaktionsfall: Anmeldefehler und Schadsoftware-Untersuchung

Dieses Repository dokumentiert einen Vorfallreaktionsfall mit Anmeldefehlern, Erkennung bösartiger Aktivitäten und Eindämmungsmaßnahmen.

---

Übersicht der Untersuchung

Wir beginnen mit der Untersuchung des eingegangenen Alarms und analysieren anschließend die Protokolle aus dem Log-Management und der Endpunktsicherheit.

Alert und Protokolle

Alert-Zusammenfassung:

• Fehlercode: 0xC000006D

Übersetzung:

• STATUS_LOGON_FAILURE: Zeigt an, dass ein Anmeldeversuch fehlgeschlagen ist, meist aufgrund falscher Anmeldedaten.

Beobachtete Protokolle:

Es gibt mehrere Betriebssystemtypen, wobei entweder Admin- oder Gastkonten den Fehlercode 0xC000006D aufweisen.

---

Hash-Analyse

Wir haben den im Alert bereitgestellten Hash analysiert und als bösartig bestätigt. Die Zuordnung zum MITRE ATT&CK-Rahmenwerk und das Verhalten der Schadsoftware wurden ebenfalls validiert.

---

Analyse der Terminalhistorie

Durch die Überprüfung der Terminalhistorie haben wir verdächtige Aktivitäten identifiziert, einschließlich eines $url-Befehls, der eine potenziell bösartige URL abruft.

---

Playbook-Ausführung

Anhand der gesammelten Informationen haben wir die entsprechenden Playbook-Schritte für diesen Fall durchgeführt.

Wichtigste Erkenntnisse:

• Schadsoftware als bösartig bestätigt.
• Eindämmungsstatus: Nicht erreicht (zum Zeitpunkt der Überprüfung von Protokollen und Endpunkt).

---

Command-and-Control (C2)-Analyse

Wir haben das Verhalten der Schadsoftware über AnyRun analysiert und die Command-and-Control (C2)-Adresse identifiziert. Dies wurde durch die Analyse des Netzwerkverhaltens bestätigt.

Statusaktualisierung:

• C2-Adresse: Zugegriffen

---

Eindämmung und Behebung

Eindämmung:

Wir haben das betroffene Gerät erfolgreich eingedämmt.

Fallabschluss:

Wir haben den Fall mit SOC-Analysten-Notizen und der Dokumentation der Playbook-Ausführung abgeschlossen.

---

Fazit

Der Fall wurde mit einer abschließenden Überprüfung und Bewertung abgeschlossen, um die Genauigkeit der während der Untersuchung ergriffenen Maßnahmen zu beurteilen.

---

Wichtigste Erkenntnisse

1. Fehlercode-Analyse: Das Verständnis von 0xC000006D-Anmeldefehlern ist entscheidend für die Identifizierung verdächtiger Aktivitäten.
2. Hash-Validierung: Bestätigen Sie Alarme immer anhand bekannter Schadsoftwaredatenbanken.
3. Terminalanalyse: Die Terminalhistorie bietet wertvolle Einblicke in mögliche Befehlsausführungen.
4. C2-Erkennung: Tools wie AnyRun können die Identifizierung von C2-Adressen vereinfachen.
5. Eindämmung: Eine rechtzeitige Eindämmung verhindert eine weitere Kompromittierung des Netzwerks.

---

Zusätzliche Ressourcen

• MITRE ATT&CK-Rahmenwerk
• AnyRun-Schadsoftware-Analyse

---

Dieses Repository dient als Referenz für die Bearbeitung ähnlicher Vorfälle. Beiträge und Diskussionen sind willkommen!

Befehlsanalyse

Befehl 1: C:\Windows\System32\svchost.exe -k termsvcs -s TermService

Erklärung

1. C:\Windows\System32\svchost.exe:

   • Diensthostprozess: Ein zentraler Windows-Systemprozess, der zum Hosten mehrerer Windows-Dienste verwendet wird, die als Dynamic-Link-Bibliotheken (DLLs) implementiert sind.
   • Befindet sich legitim in C:\Windows\System32\.

2. -k termsvcs:

   • Gibt die Dienstgruppe (termsvcs) für diese Instanz von svchost.exe an.
   • Die Gruppe termsvcs ist speziell mit Terminaldiensten verbunden.

3. -s TermService:

   • Gibt den genauen zu startenden Dienst an: Remotedesktopdienste (TermService).
   • Dieser Dienst ermöglicht Remoteverbindungen zum Computer und aktiviert das Remotedesktopprotokoll (RDP).

Zweck von TermService

• Remotedesktopdienste:
  • Verwaltet Remotedesktopverbindungen, einschließlich Benutzersitzungen über RDP.
  • Wesentlich für die Aktivierung der Remoteverwaltung oder von Remotedesktopprotokoll-Funktionen.

---

Befehl 2: C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule

Erklärung

1. C:\Windows\system32\svchost.exe:

   • Diensthostprozess: Ein kritischer Windows-Systemprozess, der zum Hosten von Diensten verwendet wird, die als Dynamic-Link-Bibliotheken (DLLs) implementiert sind.
   • Stellen Sie immer sicher, dass sich diese Datei in C:\Windows\system32\ befindet.

2. -k netsvcs:

   • Gibt die Dienstgruppe (netsvcs) an, die diese Instanz von svchost.exe hostet.
   • Die Gruppe netsvcs umfasst typischerweise netzwerkbezogene und andere wesentliche Dienste.

3. -p:

   • Gibt an, dass der Dienst im persistenten Modus ausgeführt werden soll, sodass er aktiv bleibt und bei Bedarf automatisch neu gestartet wird.

4. -s Schedule:

   • Gibt einen bestimmten Dienst innerhalb der Gruppe an, der geladen werden soll: Taskplaner (Schedule).
   • Der Taskplaner-Dienst verwaltet Aufgaben, die zu bestimmten Zeiten oder als Reaktion auf bestimmte Auslöser ausgeführt werden.

---

Befehl 3: C:\Windows\system32\svchost.exe -k DcomLaunch -p

Erklärung

1. C:\Windows\system32\svchost.exe:

   • Diensthostprozess: Ein zentraler Windows-Systemprozess, der als Host für die Ausführung mehrerer Dienste aus Dynamic-Link-Bibliotheken (DLLs) dient.

2. -k DcomLaunch:

   • Gibt die Dienstgruppe an, die der Prozess hostet.
   • DcomLaunch: Bezieht sich auf den DCOM-Serverprozess-Starter, der für das Starten von DCOM-Diensten (Distributed Component Object Model) verantwortlich ist.

3. -p:

   • Gibt an, dass der Prozess persistent sein und bei unerwarteter Beendigung neu gestartet werden soll.

Zweck von DcomLaunch

• Systemkomponente: Entscheidend für viele Windows-Operationen, wie die Kommunikation zwischen Anwendungen, das Aktivieren von Prozessen und die Bearbeitung von systemweiten RPC-Anforderungen.
• Abhängigkeiten: Viele Kerndienste, einschließlich Windows Update und COM-bezogene Anwendungen, sind auf diesen Prozess angewiesen.

---

Taskhostw.exe und Schlüssel-Roaming

taskhostw.exe

• Task Host Window: Ein generischer Hostprozess für Windows-Aufgaben.
• Speicherort: Die legitime ausführbare Datei befindet sich in C:\Windows\System32\.

Schlüssel-Roaming

• Eine Windows-Funktion, die Anmeldeinformations-Roaming für Zertifikate und private Schlüssel über Geräte in einer Active Directory-Umgebung ermöglicht.

Verbindung:

• Wenn taskhostw.exe mit Schlüssel-Roaming interagiert, könnte dies auf Hintergrundaufgaben hinweisen, die Anmeldeinformationen in einer Active Directory-Umgebung synchronisieren.