LetsDefend SOC336: Windows OLE ゼロクリック RCE 悪用検出

このリポジトリは、CVE-2025-21298に関連するWindows OLEのゼロクリックリモートコード実行エクスプロイトを含むLetsDefendアラートの調査を文書化したものです。目的は、メールトリアージからエンドポイント封じ込めに至るまでの結論に至った推論を示すことです。

概要

LetsDefendは、[email protected]に送信された受信メール内の悪意のあるRTF添付ファイルを検出してアラートを生成しました。メッセージはprojectmanagement@pm[.]meから送信され、件名はImportant: Action Required for Upcoming Project Deadlineでした。私はメール、添付ファイル、送信者の詳細、エンドポイントアクティビティを確認し、アラートがトゥルーポジティブかどうかを判断しました。

このリポジトリが示すもの

• メールトリアージ。
• 添付ファイルとハッシュ分析。
• 脅威インテリジェンスの相関。
• エンドポイントとプロセスのレビュー。
• C2とアウトバウンドトラフィックの検証。
• 封じ込めの意思決定。

ファイル

• writeup/SOC336-Windows-OLE-Zero-Click-RCE-Exploitation-Detected-CVE-2025-21298.md — 完全なケーススタディ。
• screenshots/ — レポートで使用した証拠画像。