bridg3ops/soc335-cve-2024-49138-exploitation-detectedWindowsでのCVE-2024-49138悪用を分析する詳細なインシデントレスポンスのウォークスルー。プロセスツリー分析、IOC識別、MITRE ATT&CKマッピングによる検出と緩和をカバーしています。
このプロジェクトでは、LetsDefendプラットフォーム上のシミュレートされたセキュリティインシデントを調査しました。このインシデントでは、Windows Common Log File System (CLFS) ドライバーの特権昇格脆弱性であるCVE-2024-49138の悪用によりWindowsマシンが侵害されました。攻撃者はこの脆弱性を利用して特権を昇格させ、RDP経由でリモートアクセスを確立しました。
svohost.exe) の使用を。| フィールド | 値 |
|---|---|
| アラート名 | SOC335 - CVE-2024-49138 エクスプロイト検出 |
| 検出時刻 | 2025年1月22日 02:37 UTC |
| 影響を受けたホスト名 | Victor |
| IPアドレス | 172.16.17.207 |
| 重要度 | 高 |
| MITRE ATT&CK手法 | T1059.001 – PowerShell T1055 – プロセスインジェクション T1548 – 特権昇格制御機構の悪用 T1068 – 特権昇格のためのエクスプロイト T1110 – ブルートフォース |
アラートを受信した際、svohost.exe という疑わしいプロセスの実行に気づきました。これは正規の svchost.exe を意図的に誤ったスペルにしたものです。このプロセスは異常なパス C:\temp\service_installer\svohost.exe から実行され、powershell.exe によって生成されており、潜在的な悪意のある活動を示していました。
LetsDefendプラットフォームのEndpoint Securityモジュールを使用して、プロセスツリーを追跡しました。
powershell.exesvohost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1このシーケンスは、PowerShellを使用して悪意のあるバイナリを実行し、そのバイナリが疑わしいパラメータで conhost.exe を呼び出したことを示唆していました。
さらなる分析により、既知の悪意のあるIPアドレス 185.107.56.141 からのリモートデスクトッププロトコル (RDP) ログイン成功が判明しました。これにより、攻撃者が侵害されたシステムへのリモートアクセスを獲得したことが確認されました。
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9185.107.56.141https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zipこれらのIOCは特定され、今後の脅威インテリジェンス共有およびブロックのために文書化されました。