Windows에서 CVE-2024-49138 악용을 분석하는 상세한 침해 대응 워크스루로, 프로세스 트리 분석, IOC 식별, 탐지 및 완화를 위한 MITRE ATT&CK 매핑을 다룹니다.
이 프로젝트에서는 LetsDefend 플랫폼에서 시뮬레이션된 보안 사고를 조사했습니다. Windows 시스템이 Windows 공통 로그 파일 시스템(CLFS) 드라이버의 권한 상승 취약점인 CVE-2024-49138 악용을 통해 손상되었습니다. 공격자는 이 취약점을 이용해 권한을 상승시키고 RDP를 통해 원격 접속을 설정했습니다.
svohost.exe) 사용 분석.알림을 받은 후, 합법적인 svchost.exe를 의도적으로 오타낸 svohost.exe라는 의심스러운 프로세스의 실행을 확인했습니다. 이 프로세스는 비정상적인 경로인 C:\temp\service_installer\svohost.exe에서 실행되었으며, powershell.exe에 의해 생성되어 잠재적인 악성 활동을 시사했습니다.
LetsDefend 플랫폼의 엔드포인트 보안 모듈을 사용하여 프로세스 트리를 추적했습니다.
powershell.exesvohost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1이 순서는 PowerShell을 사용하여 악성 바이너리를 실행한 후, 의심스러운 매개변수로 conhost.exe를 호출했음을 시사했습니다.
추가 분석 결과, 알려진 악성 IP 주소인 185.107.56.141에서 원격 데스크톱 프로토콜(RDP) 로그인이 성공한 것으로 나타났습니다. 이는 공격자가 손상된 시스템에 대한 원격 접근을 획득했음을 확인시켜 주었습니다.
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9185.107.56.141https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip이러한 IOC는 추가 위협 인텔리전스 공유 및 차단을 위해 식별되고 문서화되었습니다.