🛡️ SOC 조사 보고서: CVE-2024-49138 악용

📌 요약

• 알림 제목: SOC335 - CVE-2024-49138 악용 탐지
• 심각도: 높음
• 대상 호스트: Victor (172.16.17.207)
• 운영 체제: Windows 10
• 기본 사용자: letsdefend
• 판정: True Positive (악성 활동 확인됨)

---

🔍 조사 방법론

1. 프로세스 및 바이너리 분석

• 의심 파일: svohost.exe
• 실행 경로: C:\temp\service_installer\svohost.exe
• 이상 징후:
  • 프로세스 사칭: 이름이 정상 Windows 시스템 파일 svchost.exe를 모방함.
  • 경로 위치: 시스템 바이너리는 C:\Windows\System32\에서 실행되지만, 이 바이너리는 사용자 temp 경로에서 실행됨.

2. 위협 인텔리전스 검증

• 파일 해시: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• VirusTotal 탐지: 50/71 보안 벤더가 해당 파일을 악성으로 탐지함.
• 위협 분류: Trojan/Win64.MalwareX, cve-2024-49138 권한 상승 악용으로 태그됨.

3. 로그 관리 및 네트워크 상관 분석

• 호스트 IP 172.16.17.207에 대한 SIEM 로그를 조회함.
• 조사 결과: 외부 Command & Control (C2) IP 185.107.56.1로의 아웃바운드 네트워크 연결이 확인됨.

---

🛑 차단 및 대응 조치

1. 호스트 격리: EDR 엔드포인트 보안으로 이동하여 호스트 Victor (172.16.17.207)에 대해 격리: 활성화를 전환하여 네트워크 이동을 차단함.
2. 아티팩트 기록: 악성 파일 해시, C2 IP, 대상 호스트 IP를 케이스 관리(Case Management)에 문서화함.
3. 케이스 종결: 플레이북 분석을 True Positive로 최종 처리함.

---

🎯 침해 지표 (IOCs)