🛡️ SOC調査レポート: CVE-2024-49138 エクスプロイト

📌 エグゼクティブサマリー

• アラートタイトル: SOC335 - CVE-2024-49138 エクスプロイト検出
• 重大度: 高
• 対象ホスト: Victor (172.16.17.207)
• オペレーティングシステム: Windows 10
• 主要ユーザー: letsdefend
• 判定: 真陽性 (悪意のある活動を確認)

---

🔍 調査方法

1. プロセスおよびバイナリ分析

• 不審なファイル: svohost.exe
• 実行パス: C:\temp\service_installer\svohost.exe
• 異常点:
  • プロセスのなりすまし: 正規のWindowsシステムファイル svchost.exe に似せた名前。
  • パスの場所: システムバイナリは C:\Windows\System32\ から実行されるのに対し、このバイナリはユーザーの temp パスから実行された。

2. 脅威インテリジェンスの検証

• ファイルハッシュ: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• VirusTotal検出: 50/71 のセキュリティベンダーがこのファイルを悪意があるとフラグ付け。
• 脅威分類: Trojan/Win64.MalwareX、cve-2024-49138 権限昇格エクスプロイトとしてタグ付け。

3. ログ管理とネットワーク相関

• ホストIP 172.16.17.207 のSIEMログを照会。
• 調査結果: 外部のCommand & Control (C2) IP 185.107.56.1 へのアウトバウンドネットワーク接続を確認。

---

🛑 封じ込めと修復措置

1. ホストの隔離: EDRエンドポイントセキュリティに移動し、ホスト Victor (172.16.17.207) の Containment: Enabled を切り替えてネットワークトラバーサルをブロック。
2. アーティファクトの記録: 悪意のあるファイルハッシュ、C2 IP、および対象ホストIPをケース管理に記録。
3. ケースクローズ: プレイブック分析を 真陽性 として確定。

---

🎯 侵害指標 (IOCs)