Cas d'élévation de privilèges - SOC335-CVE-2024-49138-Exploitation détectée

Aperçu de l'alerte

Nom d'hôte affecté :

• Victor

Processus déclencheur :

• scohost.exe

Processus parent :

• C:\Windows\System32\WINDOWSPOWERSHELL\V1.0\powershell.exe

Empreinte de fichier :

• b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

Raison du déclenchement :

• Des schémas de comportement inhabituels ou suspects liés à l'empreinte ont été identifiés, indiquant une exploitation potentielle de CVE-2024-49138.

---

Cas de réponse aux incidents : Échec de connexion et enquête sur les logiciels malveillants

Ce dépôt documente un cas de réponse aux incidents impliquant des échecs de connexion, une détection d'activité malveillante et des efforts de confinement.

---

Aperçu de l'enquête

Nous commençons par enquêter sur l'alerte reçue et procédons à l'analyse des journaux de Gestion des journaux et de Sécurité des terminaux.

Alerte et journaux

Résumé de l'alerte :

• Code d'erreur : 0xC000006D

Traduction :

• STATUS_LOGON_FAILURE : Indique qu'une tentative de connexion a échoué, généralement en raison d'identifiants incorrects.

Journaux observés :

Plusieurs types de systèmes d'exploitation sont présents, avec des comptes Administrateur ou Invité affichant le code d'erreur 0xC000006D.

---

Analyse de l'empreinte

Nous avons analysé l'empreinte fournie dans l'alerte et l'avons confirmée comme malveillante. Le mapping MITRE ATT&CK et le comportement du logiciel malveillant ont également été validés.

---

Analyse de l'historique du terminal

En inspectant l'historique du terminal, nous avons identifié une activité suspecte, y compris une commande $url récupérant une URL potentiellement malveillante.

---

Exécution du playbook

En utilisant les informations recueillies, nous avons poursuivi les étapes appropriées du playbook pour ce cas.

Principales conclusions :

• Logiciel malveillant confirmé comme malveillant.
• Statut de confinement : Non atteint (au moment de l'examen des journaux et du terminal).

---

Analyse du serveur de commande et contrôle (C2)

Nous avons analysé le comportement du logiciel malveillant via AnyRun et identifié l'adresse du serveur de commande et contrôle (C2). Cela a été confirmé par l'analyse du comportement réseau.

Mise à jour du statut :

• Adresse C2 : Accédée

---

Confinement et résolution

Confinement :

Nous avons réussi à confiner l'appareil affecté.

Clôture du cas :

Nous avons finalisé le cas avec les notes de l'analyste SOC et la documentation d'exécution du playbook.

---

Conclusion

Le cas a été clos avec une révision finale et une notation pour évaluer la précision des actions prises lors de l'enquête.

---

Points clés à retenir

1. Analyse du code d'erreur : Comprendre les échecs de connexion 0xC000006D est crucial pour identifier une activité suspecte.
2. Validation de l'empreinte : Toujours confirmer les alertes par rapport aux bases de données de logiciels malveillants connus.
3. Analyse du terminal : L'historique du terminal fournit des informations précieuses sur les exécutions de commandes potentielles.
4. Détection C2 : Des outils comme AnyRun peuvent rationaliser l'identification des adresses C2.
5. Confinement : Un confinement rapide empêche toute compromission supplémentaire du réseau.

---

Ressources supplémentaires

• Cadre MITRE ATT&CK
• Analyse de logiciels malveillants AnyRun

---

Ce dépôt sert de référence pour traiter des incidents similaires. Les contributions et les discussions sont les bienvenues !

Analyse des commandes

Commande 1 : C:\Windows\System32\svchost.exe -k termsvcs -s TermService

Explication

1. C:\Windows\System32\svchost.exe :

   • Processus hôte de service : Un processus système Windows principal utilisé pour héberger plusieurs services Windows implémentés sous forme de bibliothèques de liens dynamiques (DLL).
   • Situé légitimement dans C:\Windows\System32\.

2. -k termsvcs :

   • Spécifie le groupe de services (termsvcs) pour cette instance de svchost.exe.
   • Le groupe termsvcs est spécifiquement lié aux services Terminal Server.

3. -s TermService :

   • Spécifie le service exact à démarrer : Services Bureau à distance (TermService).
   • Ce service permet les connexions distantes à l'ordinateur, activant le protocole RDP.

Objectif de TermService

• Services Bureau à distance :
  • Gère les connexions de bureau à distance, y compris les sessions utilisateur via RDP.
  • Essentiel pour activer l'administration à distance ou les fonctionnalités de bureau à distance.

---

Commande 2 : C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule

Explication

1. C:\Windows\system32\svchost.exe :
   • Processus hôte de service : Un processus système Windows critique utilisé pour héberger des services implémentés sous forme de bibliothèques de liens dynamiques (DLL).
   • Assurez-vous toujours que ce fichier se trouve dans C:\Windows\system32\.