mohamedbrek/soc335-cve-2024-49138-exploitation-detectedLetsDefend SOC लैब CVE-2024-49138 शोषण और संबंधित दुर्भावनापूर्ण गतिविधि की जांच कर रही है।
यह उन SOC लैब अभ्यासों में से एक था जो मैंने LetsDefend पर किए।
अलर्ट CVE-2024-49138 के बारे में था। मैंने अलर्ट की जाँच की, VirusTotal पर एक संदिग्ध हैश की जाँच की और संबंधित गतिविधि के लिए उपलब्ध लॉग खोजे।
मैंने संदिग्ध हैश को VirusTotal पर सबमिट किया।
हैश:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
VirusTotal परिणाम:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
मैंने जाँच के दौरान पाए गए संकेतकों का उपयोग करके LetsDefend लॉग खोजे।
जिन चीज़ों की मैंने खोज की उनमें से कुछ थीं:
निष्कर्ष:
मैंने IP: 172.16.17.207 के लिए लॉग फ़िल्टर किए और देखा:
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
जाँच के अनुसार, शिकार होस्ट ने सामान्य गतिविधियाँ प्रदर्शित कीं और फिर एक सफल RDP कनेक्शन के साथ-साथ रिमोट Java सर्वर के साथ आउटबाउंड संचार भी किया।
इसके अलावा, हैश परीक्षण ने भी निष्कर्ष निकाला कि फ़ाइल svohost.exe दुर्भावनापूर्ण थी।
जाँच के स्क्रीनशॉट screenshots फ़ोल्डर में संग्रहीत हैं।
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
इस प्रोजेक्ट को देखने के लिए आपके समय के लिए धन्यवाद।
मैं नेटवर्किंग, Linux, डिजिटल फ़ोरेंसिक्स, क्लाउड कंप्यूटिंग और SOC विश्लेषण में व्यावहारिक लैब पूरे करके अपनी साइबर सुरक्षा सीखने की यात्रा का दस्तावेज़ीकरण कर रहा हूँ। मेरी अन्य रिपॉज़िटरीज़ को देखने के लिए स्वतंत्र महसूस करें कि मैं आगे क्या सीख रहा हूँ।
