LetsDefend जांच: CVE-2024-49138

🔍 अवलोकन

LetsDefend का उपयोग करके व्यावहारिक SOC जांच और घटना प्रतिक्रिया सिमुलेशन, जो CVE-2024-49138 के वास्तविक दुनिया के शोषण पर केंद्रित है — विंडोज CLFS ड्राइवर में एक विशेषाधिकार वृद्धि कमजोरी।

📅 घटना विवरण

घटना ID: 313
घटना प्रकार: विशेषाधिकार वृद्धि
घटना समय: Jan 22, 2025
होस्टनाम: Victor
IP पता: 172.16.17.207
दुर्भावनापूर्ण बाइनरी: svohost.exe
मूल प्रक्रिया: powershell.exe
संदिग्ध कमांड: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ उपयोग किए गए उपकरण

VirusTotal
Hybrid Analysis
TrueFort
ChatGPT — PowerShell कमांड को डिकोड करने और व्यवहार का विश्लेषण करने के लिए
LetsDefend प्रयोगशाला वातावरण

🧠 समझौता संकेतक

हैश: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
दुर्भावनापूर्ण URL: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
दुर्भावनापूर्ण IP: 185.107.56.141

🧩 मुख्य निष्कर्ष

विशेषाधिकार वृद्धि के लिए उपयोग किए जाने वाले नकली सिस्टम बाइनरी (svohost.exe) की पहचान की।
गतिविधि को MITRE ATT&CK तकनीकों से मैप किया।
पूर्ण दृश्यता के लिए एक स्तरित टूलसेट का उपयोग किया (EDR, सैंडबॉक्सिंग, स्थैतिक/गतिशील विश्लेषण, AI)।
PowerShell-आधारित मैलवेयर वितरण विधियों में अंतर्दृष्टि प्राप्त की।

🏁 परिणाम

CVE-2024-49138 का उपयोग करके हमले की श्रृंखला को सफलतापूर्वक ट्राइएज, जांच और दस्तावेज़ीकरण किया। इस प्रयोगशाला ने घटना प्रतिक्रिया, व्यवहार विश्लेषण और खतरे का पता लगाने में मेरे कौशल को मजबूत करने में मदद की।