arkha-corvus/letsdefend-soc336-windows-ole-zero-click-rce-exploitation-detected-cve-2025-21298-Nous sommes censés enquêter sur une alerte critique signalant une exploitation RCE zero-click OLE Windows (CVE-2025-21298) livrée via une pièce jointe RTF malveillante.
Nous sommes censés enquêter sur une alerte critique signalant une exploitation RCE zero-click Windows OLE (CVE-2025-21298) livrée via une pièce jointe RTF malveillante.
Le 4 février 2025, à 16h18, une alerte de sécurité a été déclenchée suite à la réception d'un e-mail par Austin @ letsdefend.io. Le message provenait de projectmanagement @ pm.me et contenait une pièce jointe. Le fichier joint a été immédiatement signalé comme malveillant par les systèmes de surveillance de sécurité de l'organisation. Cette détection indique que la pièce jointe contenait probablement un contenu nuisible.
Cette section examine l'e-mail de gestion de projet identifié dans le système de sécurité e-mail intégré. L'objectif est de comprendre la nature de l'e-mail et les menaces potentielles auxquelles l'utilisateur est confronté.
Lors de l'examen, il est évident que l'e-mail en question est malveillant et conçu comme une tentative de phishing. L'e-mail livre un fichier Rich Text Format (RTF) armé, conçu pour exploiter une vulnérabilité connue dans l'OLE (Object Linking and Embedding) de Windows.
L'objectif principal de cette attaque est de parvenir à une exécution de code à distance sur le système cible. En exploitant la vulnérabilité OLE de Windows, l'attaquant cherche à obtenir un accès initial au système ou potentiellement à livrer des charges utiles supplémentaires, augmentant ainsi le risque pour le destinataire.
Le signalement de l'adresse IP par ces sources indépendantes indique une forte probabilité de son implication dans des opérations suspectes ou nuisibles. Ce consensus entre les outils de sécurité renforce la nécessité de traiter l'adresse IP comme une menace potentielle au sein de l'environnement.
L'exécution de la commande indique que regsvr32.exe, un utilitaire Windows légitime, a été utilisé pour récupérer et exécuter un script distant du côté de l'attaquant. Le script a été exécuté via la bibliothèque scrobj.dll, une méthode fréquemment employée dans les attaques de malware sans fichier, où le code malveillant s'exécute directement en mémoire pour contourner les mécanismes de détection basés sur les fichiers conventionnels.
Lors d'un examen plus approfondi, il a été déterminé que le script a été téléchargé depuis le point de terminaison d'Austin, indiquant que script.sct était autorisé à être géré depuis un serveur distant.
J'ai étendu mon analyse en examinant le hash lié au fichier RTF, ce qui a fourni une preuve claire qu'il s'agissait d'un fichier malveillant. Ce hash avait été signalé à plusieurs reprises et identifié par divers éditeurs de sécurité, confirmant son utilisation répétée dans des activités malveillantes.
J'ai pris l'initiative proactive de contenir l'appareil d'Austin afin de prévenir tout dommage supplémentaire ou risque de sécurité potentiel. De plus, cette action rapide a permis de minimiser l'impact et de maintenir la sécurité du réseau.
À la fin de mon enquête, j'ai conclu que le fichier en question, ou le malware qui lui est associé, représentait une menace significative. L'analyse a confirmé que le logiciel était effectivement nuisible et nécessitait une attention immédiate.
Ensuite, j'ai documenté les leçons tirées de l'incident pour référence future et je me suis assuré que tous les détails concernant l'attaque C2 malveillante étaient correctement communiqués.
Merci beaucoup d'avoir pris le temps de lire ceci !
Vos retours seraient grandement appréciés.
