Enquête LetsDefend : CVE-2024-49138

🔍 Aperçu

Simulation pratique d'investigation SOC et de réponse aux incidents utilisant LetsDefend, axée sur l'exploitation réelle de CVE-2024-49138 — une vulnérabilité d'élévation de privilèges dans le pilote Windows CLFS.

📅 Détails de l'événement

• ID de l'événement : 313
• Type d'incident : Élévation de privilèges
• Heure de l'événement : 22 janv. 2025
• Nom d'hôte : Victor
• Adresse IP : 172.16.17.207
• Binaire malveillant : svohost.exe
• Processus parent : powershell.exe
• Commande suspecte : \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ Outils utilisés

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — Pour le décodage des commandes PowerShell et l'analyse du comportement
• Environnement de laboratoire LetsDefend

🧠 Indicateurs de compromission

• Hash : b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• URL malveillante : https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• IP malveillante : 185.107.56.141

🧩 Points clés à retenir

• Identification d'un binaire système factice (svohost.exe) utilisé pour l'élévation de privilèges.
• Activité cartographiée selon les techniques MITRE ATT&CK.
• Utilisation d'un ensemble d'outils en couches pour une visibilité complète (EDR, sandboxing, analyse statique/dynamique, IA).
• Obtention d'informations sur les méthodes de livraison de malwares basés sur PowerShell.

🏁 Résultat

Tri, investigation et documentation réussis de la chaîne d'attaque exploitant CVE-2024-49138. Ce laboratoire m'a aidé à renforcer mes compétences en réponse aux incidents, analyse comportementale et détection des menaces.

🔎 Captures d'écran de l'investigation

Alerte déclenchée dans LetsDefend

Résultat VirusTotal pour le hash malveillant

🔬 Analyse de l'arbre des processus

🧪 Utilisation de PowerShell et AbuseIPDB

📋 Notes d'incident

🪟 Artefacts Windows

✅ Bilan final / Tâche marquée

---

« Devenir meilleur de 1% chaque jour. »