SOC घटना विश्लेषण: Microsoft SharePoint Server विशेषाधिकार उन्नयन (CVE-2023-29375)

Microsoft SharePoint सर्वर को लक्षित करने वाले एक गंभीर शोषण और एन्यूमरेशन प्रयास की गहन सुरक्षा जाँच।

घटना अवलोकन

• अलर्ट नाम: SOC227 - Microsoft SharePoint Server Elevation of Privilege - Possible CVE-2023-29375 Exploitation
• गंभीरता: गंभीर
• दिनांक/समय: 6 अक्टूबर, 2023, 08:05 PM
• लक्ष्य होस्टनाम: MS-SharePointServer
• लक्ष्य IP / पोर्ट: 172.16.17.233:443 (HTTPS)
• स्रोत IP (हमलावर): 39.91.166.222
• यूज़र-एजेंट: python-requests/2.28.1
• डिवाइस क्रिया: अनुमत/स्वीकृत

---

तकनीकी जाँच और निष्कर्ष

1. प्रारंभिक पहचान और स्वचालन: SIEM ने SharePoint API एंडपॉइंट्स के विरुद्ध Python-आधारित स्क्रिप्ट (python-requests/2.28.1) द्वारा स्वचालित एन्यूमरेशन और विशेषाधिकार उन्नयन के प्रयासों की पहचान करते हुए एक गंभीर अलर्ट (SOC227) ट्रिगर किया।
2. API एंडपॉइंट जाँच और प्रतिक्रिया विश्लेषण:
   • /_api/web/siteusers/web/siteusers के लिए अनुरोध के परिणामस्वरूप HTTP 404 (Not Found) प्रतिक्रिया प्राप्त हुई (प्रतिक्रिया आकार: 1453 बाइट्स)।
   • बाद में /_api/web/currentuser के लिए अनुरोध के परिणामस्वरूप HTTP 200 (OK) प्रतिक्रिया प्राप्त हुई (प्रतिक्रिया आकार: 1071 बाइट्स), जो दर्शाता है कि हमलावर द्वारा सत्र संदर्भ सफलतापूर्वक प्राप्त कर लिया गया।

3. थ्रेट इंटेलिजेंस सहसंबंध: VirusTotal पर हमलावर के IP (39.91.166.222) का क्रॉस-रेफरेंस करने पर पुष्टि हुई कि इसे कई सुरक्षा विक्रेताओं द्वारा दुर्भावनापूर्ण के रूप में चिह्नित किया गया है (ASN 4837, China Unicom से संबद्ध)।