bridg3ops/soc335-cve-2024-49138-exploitation-detectedWindows पर CVE-2024-49138 शोषण का विश्लेषण करने वाला विस्तृत घटना प्रतिक्रिया वॉकथ्रू, प्रक्रिया ट्री विश्लेषण, IOC पहचान और पता लगाने और शमन के लिए MITRE ATT&CK मैपिंग को कवर करता है।
इस प्रोजेक्ट में, मैंने LetsDefend प्लेटफॉर्म पर एक अनुकरणीय सुरक्षा घटना की जांच की, जहाँ CVE-2024-49138—Windows Common Log File System (CLFS) ड्राइवर में एक विशेषाधिकार वृद्धि भेद्यता—के शोषण के माध्यम से एक Windows मशीन से समझौता किया गया था। हमलावर ने इस भेद्यता का उपयोग करके उन्नत विशेषाधिकार प्राप्त किए और RDP के माध्यम से दूरस्थ पहुँच स्थापित की।
svohost.exe) का उपयोग करके पता लगाने से बचने के लिए।अलर्ट प्राप्त करने पर, मैंने svohost.exe नामक एक संदिग्ध प्रक्रिया के निष्पादन पर ध्यान दिया—यह वैध svchost.exe की जानबूझकर गलत वर्तनी है। यह प्रक्रिया एक असामान्य पथ से निष्पादित की गई थी: C:\temp\service_installer\svohost.exe, और इसे powershell.exe द्वारा स्पॉन किया गया था, जो संभावित दुर्भावनापूर्ण गतिविधि का संकेत देता है।
LetsDefend प्लेटफॉर्म के एंडपॉइंट सुरक्षा मॉड्यूल का उपयोग करके, मैंने प्रक्रिया ट्री का पता लगाया:
powershell.exesvohost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1यह अनुक्रम PowerShell के उपयोग का सुझाव देता है ताकि एक दुर्भावनापूर्ण बाइनरी को निष्पादित किया जा सके, जिसने बाद में संदिग्ध पैरामीटर के साथ conhost.exe को आमंत्रित किया।
आगे के विश्लेषण से एक ज्ञात दुर्भावनापूर्ण IP पते: 185.107.56.141 से एक सफल रिमोट डेस्कटॉप प्रोटोकॉल (RDP) लॉगिन का पता चला। इसने पुष्टि की कि हमलावर ने समझौता किए गए सिस्टम तक दूरस्थ पहुँच प्राप्त कर ली है।
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9185.107.56.141https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zipये IOCs आगे की खतरा खुफिया साझाकरण और अवरोधन के लिए पहचाने और दस्तावेज किए गए।