🛡️ SOC जाँच रिपोर्ट: CVE-2024-49138 शोषण

📌 कार्यकारी सारांश

• अलर्ट शीर्षक: SOC335 - CVE-2024-49138 शोषण का पता चला
• गंभीरता: उच्च
• लक्ष्य होस्ट: Victor (172.16.17.207)
• ऑपरेटिंग सिस्टम: Windows 10
• प्राथमिक उपयोगकर्ता: letsdefend
• निर्णय: True Positive (दुर्भावनापूर्ण गतिविधि की पुष्टि)

---

🔍 जाँच कार्यप्रणाली

1. प्रक्रिया और बाइनरी विश्लेषण

• संदिग्ध फ़ाइल: svohost.exe
• निष्पादन पथ: C:\temp\service_installer\svohost.exe
• विसंगतियाँ:
  • प्रक्रिया प्रतिरूपण: नाम वैध Windows सिस्टम फ़ाइल svchost.exe की नकल करता है।
  • पथ स्थान: सिस्टम बाइनरीज़ C:\Windows\System32\ से चलती हैं, जबकि यह बाइनरी उपयोगकर्ता के temp पथ से निष्पादित हुई।

2. खतरा बुद्धिमत्ता सत्यापन

• फ़ाइल हैश: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• VirusTotal पहचान: 50/71 सुरक्षा विक्रेताओं ने फ़ाइल को दुर्भावनापूर्ण के रूप में चिह्नित किया।
• खतरा वर्गीकरण: Trojan/Win64.MalwareX, cve-2024-49138 विशेषाधिकार उन्नयन शोषण के साथ टैग किया गया।

3. लॉग प्रबंधन और नेटवर्क सहसंबंध

• होस्ट IP 172.16.17.207 के लिए SIEM लॉग क्वेरी किए गए।
• निष्कर्ष: बाहरी Command & Control (C2) IP 185.107.56.1 से आउटबाउंड नेटवर्क कनेक्शन की पुष्टि हुई।

---

🛑 रोकथाम और उपचार कार्रवाई

1. होस्ट अलगाव: EDR Endpoint Security पर नेविगेट किया और होस्ट Victor (172.16.17.207) के लिए Containment: Enabled टॉगल किया ताकि नेटवर्क ट्रैवर्सल को अवरुद्ध किया जा सके।
2. आर्टिफैक्ट लॉगिंग: केस प्रबंधन में दुर्भावनापूर्ण फ़ाइल हैश, C2 IP, और लक्ष्य होस्ट IP का दस्तावेजीकरण किया।
3. केस क्लोजर: प्लेबुक विश्लेषण को True Positive के रूप में अंतिम रूप दिया।

---

🎯 समझौते के संकेतक (IOCs)

आर्टिफैक्ट प्रकार	मान	विवरण
फ़ाइल हैश (SHA-256)	b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9	दुर्भावनापूर्ण शोषण निष्पादन योग्य
C2 IP पता	185.107.56.1	Command & Control IP
पीड़ित IP	172.16.17.207	समझौता किया गया Windows 10 होस्ट
फ़ाइल पथ	C:\temp\service_installer\svohost.exe	निष्पादन योग्य स्थान