SOC-Investigation-CVE-2024-49138

Report di indagine e risposta agli incidenti per LetsDefend Alert SOC335 (Sfruttamento di CVE-2024-49138)

• Mascheramento del Processo: Il nome imita il file di sistema legittimo di Windows svchost.exe.
• Posizione del Percorso: I binari di sistema vengono eseguiti da C:\Windows\System32\, mentre questo binario è stato eseguito da un percorso temp dell'utente.

2. Verifica delle Informazioni sulle Minacce

• Hash del File: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• Rilevamento VirusTotal: 50/71 fornitori di sicurezza hanno segnalato il file come malevolo.
• Classificazione della Minaccia: Trojan/Win64.MalwareX, contrassegnato con l'exploit di escalation dei privilegi cve-2024-49138.

3. Gestione dei Log e Correlazione di Rete

• Interrogati i log SIEM per l'IP dell'host 172.16.17.207.
• Risultati: Confermata la connessione di rete in uscita verso l'IP esterno di Command & Control (C2) 185.107.56.1.

🛑 Azioni di Contenimento e Bonifica

1. Isolamento dell'Host: Acceduto a EDR Endpoint Security e attivato Containment: Enabled per l'host Victor (172.16.17.207) per bloccare il traffico di rete.
2. Registrazione degli Artefatti: Documentati l'hash del file malevolo, l'IP C2 e l'IP dell'host di destinazione nella Gestione dei Casi.
3. Chiusura del Caso: Finalizzata l'analisi del playbook come Vero Positivo.

🎯 Indicatori di Compromissione (IOC)