LetsDefend 조사: CVE-2024-49138

🔍 개요

LetsDefend를 활용한 실습형 SOC 조사 및 침해 대응 시뮬레이션 — Windows CLFS 드라이버의 권한 상승 취약점인 CVE-2024-49138의 실제 악용 사례에 초점을 맞췄습니다.

📅 이벤트 세부 정보

• 이벤트 ID: 313
• 인시던트 유형: 권한 상승
• 이벤트 시간: 2025년 1월 22일
• 호스트명: Victor
• IP 주소: 172.16.17.207
• 악성 바이너리: svohost.exe
• 부모 프로세스: powershell.exe
• 의심스러운 명령: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ 사용된 도구

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — PowerShell 명령 디코딩 및 동작 분석용
• LetsDefend 랩 환경

🧠 침해 지표(IoC)

• 해시: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• 악성 URL: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• 악성 IP: 185.107.56.141

🧩 핵심 시사점

• 권한 상승에 사용된 가짜 시스템 바이너리(svohost.exe)를 식별했습니다.
• 활동을 MITRE ATT&CK 기법에 매핑했습니다.
• 완전한 가시성을 위해 계층적 도구 세트(EDR, 샌드박싱, 정적/동적 분석, AI)를 사용했습니다.
• PowerShell 기반 악성코드 전달 방식에 대한 통찰력을 얻었습니다.

🏁 결과

CVE-2024-49138을 악용한 공격 체인을 성공적으로 분류(triage)·조사·문서화했습니다. 이 랩을 통해 침해 대응, 행동 분석, 위협 탐지 역량을 강화할 수 있었습니다.

🔎 조사 스크린샷

LetsDefend에서 트리거된 알림

악성 해시에 대한 VirusTotal 결과

🔬 프로세스 트리 분석

🧪 PowerShell 및 AbuseIPDB 사용

📋 인시던트 메모

🪟 Windows 아티팩트

✅ 최종 정리 / 작업 완료 처리

---

“매일 1%씩 더 나아지기.”