abc1230940/soc336-windows-ole-zero-click-rce-exploitation-detected-cve-2025-21298SOC336 - Exploitation RCE Zero-Click de Windows OLE détectée (CVE-2025-21298) - Procédure pas à pas
L'un de nos employés, Austin, a reçu un e-mail de phishing provenant d'un expéditeur suspect, et une alerte a été déclenchée après qu'il a ouvert l'e-mail via Outlook le 4 février 2025 à 16h18. La raison du déclenchement était « Pièce jointe RTF malveillante identifiée avec un schéma d'exploitation connu pour CVE-2025-21298 » .
EventID : 314
Heure de l'événement : 4 février 2025 à 16h18 (je pense que c'était faux)
Règle : SOC336 - Détection d'une exploitation RCE zero-click OLE Windows (CVE-2025-21298)
Niveau : Analyste de sécurité
Adresse SMTP : 84.38.130.118
Adresse source : [email protected]
Adresse de destination : [email protected]
Objet de l'e-mail : Important : Action requise pour l'échéance du projet à venir
Pièce jointe : mail.rtf
Empreinte de la pièce jointe : df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184
Action de l'appareil : Autorisé
Raison du déclenchement : Pièce jointe RTF malveillante identifiée avec un schéma d'exploitation connu pour CVE-2025-21298.
Examinons les journaux de sécurité des e-mails, de gestion des journaux et de sécurité des endpoints pour le triage de l'alerte.
J'ai recherché l'adresse de l'expéditeur projectmanagement@pm[.]me et cliqué sur l'e-mail « Important : Action requise pour l'échéance du projet à venir » envoyé à 05h12 le même jour, ce qui m'a paru étrange car les tons urgents et les formulations comme « Important » et « Action requise » m'ont donné un indice sur un e-mail de phishing.
J'ai recherché le domaine pm[.]me sur VirusTotal et un seul fournisseur l'a jugé suspect.
Cependant, lorsque j'ai recherché l'adresse SMTP 84[.]38[.]130[.]118, 7 fournisseurs l'ont signalée comme malveillante et contenant un malware, et elle était liée au serveur C2 SILVER.
84[.]38[.]130[.]118 figurait également dans la base de données AbuseIPDB. Elle se situe à Riga, Riga, Lettonie, appartient au nom de domaine rixhost.lv et est catégorisée comme attaque DDoS, piratage et hôte exploité.
Enfin, j'ai recherché l'empreinte df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184 de la pièce jointe mail.rtf sur VirusTotal et 29 fournisseurs sur 61 ont signalé la pièce jointe comme malveillante. Elle appartient à la famille de malwares rtfmalformb et a été associée à la vulnérabilité CVE-2025-21298.
Il a été confirmé qu'un e-mail de phishing avec une pièce jointe malveillante a été envoyé à Austin.
