mohamedbrek/soc335-cve-2024-49138-exploitation-detectedLetsDefend SOC lab enquêtant sur l'exploitation de CVE-2024-49138 et l'activité malveillante associée.
Il s'agissait de l'un des exercices du laboratoire SOC que j'ai réalisés sur LetsDefend.
L'alerte concernait CVE-2024-49138. J'ai enquêté sur l'alerte, vérifié un hash suspect sur VirusTotal et recherché dans les journaux disponibles toute activité associée.
J'ai soumis le hash suspect à VirusTotal.
Hash :
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
Résultat VirusTotal :
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
J'ai recherché dans les journaux LetsDefend à l'aide des indicateurs trouvés lors de l'enquête.
Parmi les éléments que j'ai recherchés :
Constats :
J'ai filtré les journaux pour l'IP : 172.16.17.207 et observé :
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
Selon l'enquête, l'hôte victime présentait des activités normales, puis a connu une connexion RDP réussie ainsi qu'une communication sortante avec le serveur Java distant.
De plus, l'examen du hash a également conclu que le fichier svohost.exe était malveillant.
Les captures d'écran de l'enquête sont stockées dans le dossier screenshots.
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
Merci d'avoir pris le temps de consulter ce projet.
Je documente mon parcours d'apprentissage en cybersécurité en réalisant des laboratoires pratiques en réseautique, Linux, informatique légale, infonuagique et analyse SOC. N'hésitez pas à explorer mes autres dépôts pour découvrir ce que j'apprends ensuite.
