SOC335 - Ausnutzung von CVE-2024-49138 erkannt

Zusammenfassung

Dies war eine der SOC-Lab-Übungen, die ich auf LetsDefend durchgeführt habe.

Der Alarm betraf CVE-2024-49138. Ich untersuchte den Alarm, überprüfte einen verdächtigen Hash auf VirusTotal und durchsuchte die verfügbaren Logs nach zugehörigen Aktivitäten.

Was ich getan habe

• Den ursprünglichen Alarm untersucht
• Den verdächtigen Hash extrahiert und auf VirusTotal überprüft
• LetsDefend Log Management überprüft
• Die verdächtige Datei und den Prozess untersucht
• Zugehörige IP-Adressen und Netzwerkaktivitäten überprüft
• Eine Zeitleiste der Aktivitäten erstellt
• Die IOCs identifiziert

Hash-Untersuchung

Ich habe den verdächtigen Hash an VirusTotal übermittelt.

Hash:

b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

VirusTotal-Ergebnis:

The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious

Log-Untersuchung

Ich habe die LetsDefend-Logs anhand der während der Untersuchung gefundenen Indikatoren durchsucht.

Einige der Dinge, nach denen ich gesucht habe, waren:

• Dateiname
• Hash
• Prozess
• IP-Adresse
• Hostname
• Benutzer

Erkenntnisse:

Ich filterte die Logs nach IP: 172.16.17.207 und beobachtete:

• Mehrere Brute-Force-Anmeldeversuche von 185.107.56[.]141
• Erfolgreiche RDP-Anmeldung
• Ausgehender Datenverkehr zu einem bösartigen C2-Server

IOCs

Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe

Fazit

Der Untersuchung zufolge wies der betroffene Host normale Aktivitäten auf und ging anschließend eine erfolgreiche RDP-Verbindung sowie eine ausgehende Kommunikation mit dem entfernten Java-Server ein.

Darüber hinaus ergab die Hash-Untersuchung, dass die Datei svohost.exe bösartig war.

Werkzeuge

• LetsDefend
• VirusTotal
• Endpoint Security
• Log Management

Screenshots

Screenshots aus der Untersuchung sind im Ordner screenshots gespeichert.

Repository-Struktur

SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
    ├── 01-VirusTotal-Detection.png
    ├── 02-Basic-Properties.png
    ├── 03-File-Name-VT.png
    ├── 04-Endpoint-Information.png
    ├── 05-Priviledge-Escalation.png
    ├── 06-Terminal-History.png
    ├── 07-Log-Management.png
    ├── 08-SIEM-Dashboard.png
    └── 09-Playbook-score.png

Verbinden

Vielen Dank, dass Sie sich die Zeit genommen haben, dieses Projekt anzusehen.

Ich dokumentiere meine Lernreise im Bereich Cybersicherheit, indem ich praktische Labs in den Bereichen Netzwerktechnik, Linux, digitale Forensik, Cloud-Computing und SOC-Analyse absolviere. Schauen Sie sich gerne meine anderen Repositories an, um zu sehen, was ich als Nächstes lerne.