SOC335 - CVE-2024-49138 の悪用を検知

概要

これは私が LetsDefend で取り組んだ SOC ラボ演習の一つです。

アラートは CVE-2024-49138 に関するものでした。私はアラートを調査し、疑わしいハッシュを VirusTotal で確認し、関連する活動について利用可能なログを検索しました。

実施した内容

• 初回アラートの調査
• 疑わしいハッシュの抽出と VirusTotal での確認
• LetsDefend ログ管理の確認
• 疑わしいファイルとプロセスの調査
• 関連する IP アドレスとネットワーク活動の確認
• 活動のタイムラインの作成
• IOC の特定

ハッシュ調査

疑わしいハッシュを VirusTotal に送信しました。

ハッシュ:

b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

VirusTotal の結果:

The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious

ログ調査

調査中に見つかったインジケーターを使用して LetsDefend のログを検索しました。

確認した項目の一部は以下のとおりです:

• ファイル名
• ハッシュ
• プロセス
• IP アドレス
• ホスト名
• ユーザー

調査結果:

IP: 172.16.17.207 でログをフィルタリングし、以下を確認しました:

• 185.107.56[.]141 からの複数のブルートフォースログイン試行
• RDP ログインの成功
• 悪意のある C2 サーバーへのアウトバウンド通信

IOC

Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe

結論

調査によると、被害ホストは正常な活動を示した後、RDP 接続の成功およびリモート Java サーバーとのアウトバウンド通信を行いました。

さらに、ハッシュ検査によりファイル svohost.exe が悪意のあるものであることも判明しました。

ツール

• LetsDefend
• VirusTotal
• Endpoint Security
• Log Management

スクリーンショット

調査のスクリーンショットは screenshots フォルダに保存されています。

リポジトリ構造

SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
    ├── 01-VirusTotal-Detection.png
    ├── 02-Basic-Properties.png
    ├── 03-File-Name-VT.png
    ├── 04-Endpoint-Information.png
    ├── 05-Priviledge-Escalation.png
    ├── 06-Terminal-History.png
    ├── 07-Log-Management.png
    ├── 08-SIEM-Dashboard.png
    └── 09-Playbook-score.png

つながる

このプロジェクトをご覧いただきありがとうございます。

私はネットワーキング、Linux、デジタルフォレンジック、クラウドコンピューティング、SOC 分析のハンズオンラボを完了することで、サイバーセキュリティ学習の旅を記録しています。次に何を学んでいるか知りたい方は、私の他のリポジトリもぜひご覧ください。