🛡️ SOC जांच रिपोर्ट: CVE-2024-49138 शोषण

📌 कार्यकारी सारांश

• अलर्ट शीर्षक: SOC335 - CVE-2024-49138 शोषण का पता चला
• गंभीरता: उच्च
• लक्ष्य होस्ट: Victor (172.16.17.207)
• ऑपरेटिंग सिस्टम: Windows 10
• प्राथमिक उपयोगकर्ता: letsdefend
• निर्णय: सही सकारात्मक (दुर्भावनापूर्ण गतिविधि की पुष्टि हुई)

---

🔍 जांच पद्धति

1. प्रक्रिया और बाइनरी विश्लेषण

• संदिग्ध फ़ाइल: svohost.exe
• निष्पादन पथ: C:\temp\service_installer\svohost.exe
• विसंगतियाँ:
  • प्रक्रिया मास्करेडिंग: नाम वैध Windows सिस्टम फ़ाइल svchost.exe की नकल करता है।
  • पथ स्थान: सिस्टम बाइनरी C:\Windows\System32\ से चलती हैं, जबकि यह बाइनरी उपयोगकर्ता के temp पथ से निष्पादित हुई।

2. थ्रेट इंटेलिजेंस सत्यापन

• फ़ाइल हैश: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• VirusTotal डिटेक्शन: 50/71 सुरक्षा विक्रेताओं ने फ़ाइल को दुर्भावनापूर्ण बताया।
• खतरा वर्गीकरण: Trojan/Win64.MalwareX, जिसे cve-2024-49138 विशेषाधिकार वृद्धि शोषण के रूप में टैग किया गया है।

3. लॉग प्रबंधन और नेटवर्क सहसंबंध

• होस्ट IP 172.16.17.207 के लिए SIEM लॉग क्वेरी किए गए।
• निष्कर्ष: बाहरी कमांड एंड कंट्रोल (C2) IP 185.107.56.1 से आउटबाउंड नेटवर्क कनेक्शन की पुष्टि हुई।

---

🛑 रोकथाम और उपचारात्मक कार्रवाइयाँ

1. होस्ट आइसोलेशन: EDR एंडपॉइंट सुरक्षा पर जाकर होस्ट Victor (172.16.17.207) के लिए कंटेनमेंट: सक्षम टॉगल किया गया ताकि नेटवर्क ट्रैवर्सल को अवरुद्ध किया जा सके।
2. आर्टिफैक्ट लॉगिंग: केस प्रबंधन में दुर्भावनापूर्ण फ़ाइल हैश, C2 IP और लक्ष्य होस्ट IP दर्ज किए गए।
3. केस समापन: प्लेबुक विश्लेषण को सही सकारात्मक के रूप में अंतिम रूप दिया गया।

---

🎯 समझौता संकेतक (IOCs)