mohamedbrek/soc335-cve-2024-49138-exploitation-detectedLetsDefend SOC lab che indaga sullo sfruttamento di CVE-2024-49138 e sulle attività malevole correlate.
Questo è stato uno degli esercizi del laboratorio SOC che ho affrontato su LetsDefend.
L'avviso riguardava CVE-2024-49138. Ho analizzato l'avviso, verificato un hash sospetto su VirusTotal e cercato nei log disponibili eventuali attività correlate.
Ho inviato l'hash sospetto a VirusTotal.
Hash:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
Risultato di VirusTotal:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
Ho cercato nei log di LetsDefend utilizzando gli indicatori trovati durante l'analisi.
Alcuni degli elementi che ho cercato sono stati:
Risultati:
Ho filtrato i log per l'IP: 172.16.17.207 e ho osservato:
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
Secondo l'analisi, l'host vittima mostrava attività normali e in seguito ha subito una connessione RDP riuscita nonché una comunicazione in uscita con il server Java remoto.
Inoltre, l'esame dell'hash ha anche concluso che il file svohost.exe era malevolo.
Gli screenshot dell'analisi sono archiviati nella cartella screenshots.
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
Grazie per aver dedicato del tempo a visualizzare questo progetto.
Sto documentando il mio percorso di apprendimento nella cybersecurity completando laboratori pratici su networking, Linux, digital forensics, cloud computing e analisi SOC. Sentiti libero di esplorare i miei altri repository per vedere cosa imparerò in seguito.
