• Masquerading del Processo: Il nome imita il file di sistema Windows legittimo svchost.exe.
• Posizione del Percorso: I binari di sistema vengono eseguiti da C:\Windows\System32\, mentre questo binario è stato eseguito da un percorso temp dell'utente.

2. Verifica della Threat Intelligence

• Hash del File: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• Rilevamento VirusTotal: 50/71 vendor di sicurezza hanno segnalato il file come dannoso.
• Classificazione della Minaccia: Trojan/Win64.MalwareX, contrassegnato come exploit di escalation dei privilegi cve-2024-49138.

3. Gestione dei Log e Correlazione di Rete

• Interrogati i log SIEM per l'IP host 172.16.17.207.
• Risultati: Confermata connessione di rete in uscita verso l'IP Command & Control (C2) esterno 185.107.56.1.

🛑 Azioni di Contenimento e Bonifica

1. Isolamento dell'Host: Navigato su EDR Endpoint Security e attivato Contenimento: Abilitato per l'host Victor (172.16.17.207) per bloccare il movimento laterale in rete.
2. Registrazione degli Artefatti: Documentati l'hash del file dannoso, l'IP C2 e l'IP dell'host target in Case Management.
3. Chiusura del Caso: Analisi del playbook conclusa come True Positive.

🎯 Indicatori di Compromissione (IOC)