Indagine LetsDefend: CVE-2024-49138

🔍 Panoramica

Simulazione pratica di indagine SOC e risposta agli incidenti usando LetsDefend, concentrata sullo sfruttamento reale di CVE-2024-49138 — una vulnerabilità di escalation dei privilegi nel driver CLFS di Windows.

📅 Dettagli dell'Evento

• ID Evento: 313
• Tipo di Incidente: Escalation dei Privilegi
• Ora Evento: 22 Gen 2025
• Hostname: Victor
• Indirizzo IP: 172.16.17.207
• Binary Maligno: svohost.exe
• Processo Genitore: powershell.exe
• Comando Sospetto: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ Strumenti Utilizzati

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — Per decodificare comandi PowerShell e analizzare il comportamento
• Ambiente di Laboratorio LetsDefend

🧠 Indicatori di Compromissione

• Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• URL Maligno: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• IP Maligno: 185.107.56.141

🧩 Punti Chiave

• Identificato il binary di sistema falso (svohost.exe) usato per l'escalation dei privilegi.
• Mappata l'attività alle tecniche MITRE ATT&CK.
• Utilizzato un set di strumenti a più livelli per la piena visibilità (EDR, sandboxing, analisi statica/dinamica, AI).
• Acquisita conoscenza sui metodi di distribuzione di malware basati su PowerShell.

🏁 Risultato

Triato, investigato e documentato con successo la catena di attacco sfruttando CVE-2024-49138. Questo laboratorio ha aiutato a rafforzare le mie competenze nella risposta agli incidenti, nell'analisi comportamentale e nel rilevamento delle minacce.

🔎 Screenshot dell'Indagine

Allerta Attivata in LetsDefend

Risultato VirusTotal per Hash Maligno

🔬 Analisi dell'Albero dei Processi

🧪 Utilizzo di PowerShell e AbuseIPDB

📋 Note sull'Incidente

🪟 Artefatti Windows

✅ Riepilogo Finale / Attività Completata

---

“Migliorare dell'1% ogni giorno.”