चरण 1: वर्चुअल मशीन परिनियोजन

• Intel 471 प्रयोगशाला VM तक पहुँचा
• शिकार पैकेज की समीक्षा की
• भेद्यता संदर्भ को समझा

चरण 2: Elastic SIEM विश्लेषण

• संदिग्ध प्रक्रिया निष्पादनों की क्वेरी की
• sc.exe LOLBIN उपयोग की जांच की
• कमांड-लाइन तर्कों की समीक्षा की

चरण 3: सेवा नाम पिवोटिंग

संदिग्ध कमांड की पहचान की गई:

sc create "DailyCleanup" binPath= "C:\Users\Jamesmurphy\AppData\Local\Temp\powershell.exe" start= auto

• सेवा का नाम निकाला: DailyCleanup
• सेवा नाम का उपयोग करके खोजों को पिवोट किया

चरण 4: ईवेंट सहसंबंध

• ईवेंट आईडी 4688 = प्रक्रिया निर्माण
• ईवेंट आईडी = सफल सेवा स्थापना

चरण 5: फ़्लैग पुनर्प्राप्ति

अंतिम फ़्लैग 1 उत्तर:

सिस्टम पर एक नई सेवा स्थापित की गई थी

प्रमुख सीखे गए सबक

• अकेले भेद्यता गंभीरता अपर्याप्त है
• थ्रेट इंटेलिजेंस शिकार सटीकता में सुधार करता है
• प्रक्रिया निष्पादन सफल हमलावर उद्देश्यों की पुष्टि नहीं करता है
• पिवोटिंग आवश्यक है
• व्यवहारिक पहचान महत्वपूर्ण है

MITRE ATT&CK मैपिंग

• T1543.003 – Windows सेवा
• T1218 – हस्ताक्षरित बाइनरी प्रॉक्सी निष्पादन
• T1059 – कमांड और स्क्रिप्टिंग इंटरप्रेटर

पूर्ण ब्लॉग लेख

https://navyacyber.hashnode.dev/my-first-hands-on-threat-hunting-workshop-experience-with-intel-471-hunting-cve-2023-46604-from-curiosity-to-confidence

मुझसे जुड़ें

https://www.linkedin.com/in/navya-machhi-/

अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक और पेशेवर पोर्टफोलियो उद्देश्यों के लिए है।

यह कार्यप्रणाली, सीखने के परिणामों और व्यावहारिक थ्रेट हंटिंग कौशल पर केंद्रित है, बिना मालिकाना वर्कशॉप सामग्री का खुलासा किए।