LetsDefend SOC336: Explotación RCE Zero-Click OLE de Windows Detectada

Este repositorio documenta mi investigación de una alerta de LetsDefend que involucra una explotación de ejecución remota de código zero-click OLE de Windows vinculada a CVE-2025-21298. El objetivo es mostrar el razonamiento detrás de la conclusión, desde el triaje del correo hasta la contención del endpoint.

Resumen

LetsDefend generó la alerta tras detectar un archivo adjunto RTF malicioso en un correo electrónico entrante enviado a [email protected]. El mensaje provenía de projectmanagement@pm[.]me con el asunto Important: Action Required for Upcoming Project Deadline. Revisé el correo, el archivo adjunto, los detalles del remitente y la actividad del endpoint para determinar si la alerta era un verdadero positivo.

Lo que muestra este repo

• Triaje de correo electrónico.
• Análisis de archivo adjunto y hash.
• Correlación de inteligencia de amenazas.
• Revisión de endpoint y procesos.
• Validación de tráfico C2 y saliente.
• Toma de decisiones de contención.

Archivos

• writeup/SOC336-Windows-OLE-Zero-Click-RCE-Exploitation-Detected-CVE-2025-21298.md — estudio de caso completo.
• screenshots/ — imágenes de evidencia utilizadas en el informe.

Hallazgo principal

La actividad fue consistente con un intento de explotación de verdadero positivo. El archivo RTF malicioso, los detalles del remitente, la IP del remitente y el comportamiento del proceso del endpoint apuntaban a una cadena de entrega exitosa con actividad sospechosa posterior a la entrega.

Cómo usar este repo

Abra primero el informe, luego revise las capturas de pantalla en orden. El archivo markdown está escrito para que pueda funcionar por sí solo en GitHub sin contexto adicional.

Notas

Este repositorio está escrito en un estilo natural y directo para que se lea como un estudio de caso real de un SOC.