권한 상승 사례 - SOC335-CVE-2024-49138-Exploitation-Detected

알림 개요

영향을 받은 호스트명:

• Victor

트리거 프로세스:

• scohost.exe

부모 프로세스:

• C:\Windows\System32\WINDOWSPOWERSHELL\V1.0\powershell.exe

파일 해시:

• b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

트리거 이유:

• 해시와 관련된 비정상적이거나 의심스러운 행동 패턴이 식별되어 CVE-2024-49138의 잠재적 악용을 나타냅니다.

---

침해 대응 사례: 로그온 실패 및 악성코드 조사

이 저장소는 로그온 실패, 악성 활동 탐지 및 격리 노력을 포함한 침해 대응 사례를 문서화합니다.

---

조사 개요

수신된 알림을 조사하는 것으로 시작하여 로그 관리 및 엔드포인트 보안의 로그를 분석합니다.

알림 및 로그

알림 요약:

• 오류 코드: 0xC000006D

번역:

• STATUS_LOGON_FAILURE: 로그온 시도가 실패했음을 나타내며, 일반적으로 잘못된 자격 증명으로 인해 발생합니다.

관찰된 로그:

여러 OS 유형이 있으며, Admin 또는 Guest 계정에서 오류 코드 0xC000006D가 표시됩니다.

---

해시 분석

알림에 제공된 해시를 분석하여 악성으로 확인했습니다. MITRE ATT&CK 프레임워크 매핑 및 악성코드 동작도 검증되었습니다.

---

터미널 기록 분석

터미널 기록을 검사하여 잠재적으로 악성 URL을 검색하는 $url 명령을 포함한 의심스러운 활동을 식별했습니다.

---

플레이북 실행

수집된 정보를 사용하여 이 사례에 적합한 플레이북 단계를 진행했습니다.

주요 발견 사항:

• 악성코드가 악성으로 확인됨.
• 격리 상태: 달성되지 않음 (로그 및 엔드포인트 검토 당시).

---

명령 및 제어(C2) 분석

AnyRun을 통해 악성코드 동작을 분석하고 명령 및 제어(C2) 주소를 식별했습니다. 네트워크 동작 분석을 통해 이를 확인했습니다.

상태 업데이트:

• C2 주소: 접근됨

---

격리 및 해결

격리:

영향을 받은 장치를 성공적으로 격리했습니다.

사례 종료:

SOC 분석가 메모와 플레이북 실행 문서로 사례를 마무리했습니다.

---

결론

사례는 조사 중 취한 조치의 정확성을 평가하기 위한 최종 검토 및 점수 평가로 종료되었습니다.

---

주요 시사점

1. 오류 코드 분석: 0xC000006D 로그온 실패를 이해하는 것은 의심스러운 활동 식별에 중요합니다.
2. 해시 검증: 알려진 악성코드 데이터베이스와 항상 알림을 확인하세요.
3. 터미널 분석: 터미널 기록은 잠재적인 명령 실행에 대한 귀중한 통찰력을 제공합니다.
4. C2 탐지: AnyRun과 같은 도구는 C2 주소 식별을 간소화할 수 있습니다.
5. 격리: 신속한 격리는 네트워크의 추가 손상을 방지합니다.

---

추가 리소스

• MITRE ATT&CK Framework
• AnyRun Malware Analysis

---

이 저장소는 유사한 사고를 처리하기 위한 참고 자료로 사용됩니다. 기여와 토론을 환영합니다!

명령 분석

명령 1: C:\Windows\System32\svchost.exe -k termsvcs -s TermService

설명

1. C:\Windows\System32\svchost.exe:

   • 서비스 호스트 프로세스: 여러 Windows 서비스를 동적 연결 라이브러리(DLL)로 호스팅하는 핵심 Windows 시스템 프로세스입니다.
   • 정당한 위치는 C:\Windows\System32\ 입니다.

2. -k termsvcs:

   • 이 svchost.exe 인스턴스에 대한 서비스 그룹(termsvcs)을 지정합니다.
   • termsvcs 그룹은 특히 터미널 서비스와 관련됩니다.

3. -s TermService:

   • 시작할 정확한 서비스를 지정합니다: 원격 데스크톱 서비스(TermService).
   • 이 서비스는 컴퓨터에 대한 원격 연결을 허용하여 원격 데스크톱 프로토콜(RDP)을 활성화합니다.

TermService의 목적

• 원격 데스크톱 서비스:
  • RDP를 통한 사용자 세션을 포함한 원격 데스크톱 연결을 관리합니다.
  • 원격 관리 또는 원격 데스크톱 기능을 활성화하는 데 필수적입니다.

---

명령 2: C:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule

설명

1. C:\Windows\system32\svchost.exe:

   • 서비스 호스트 프로세스: 동적 연결 라이브러리(DLL)로 구현된 서비스를 호스팅하는 중요한 Windows 시스템 프로세스입니다.
   • 이 파일이 **C:\Windows\system32\**에 있는지 항상 확인하십시오.

2. -k netsvcs:

   • 이 svchost.exe 인스턴스가 호스팅하는 서비스 그룹(netsvcs)을 지정합니다.
   • netsvcs 그룹은 일반적으로 네트워킹 관련 및 기타 필수 서비스를 포함합니다.

3. -p:

   • 서비스가 영구 모드로 실행되어 활성 상태를 유지하고 필요 시 자동으로 다시 시작되도록 합니다.

4. -s Schedule:

   • 그룹 내에서 로드할 특정 서비스를 지정합니다: 작업 스케줄러(Schedule).
   • 작업 스케줄러 서비스는 특정 시간에 또는 특정 트리거에 응답하여 실행되는 작업을 관리합니다.

5. 프로세스 ID:

   • 1996은 작업 스케줄러 서비스를 관리하는 svchost.exe 인스턴스의 프로세스 ID(PID) 입니다.

---

명령 3: C:\Windows\system32\svchost.exe -k DcomLaunch -p

설명

1. C:\Windows\system32\svchost.exe:

   • 서비스 호스트 프로세스: 동적 연결 라이브러리(DLL)에서 여러 서비스를 실행하기 위한 호스트 역할을 하는 핵심 Windows 시스템 프로세스입니다.

2. -k DcomLaunch:

   • 프로세스가 호스팅하는 서비스 그룹을 지정합니다.
   • DcomLaunch: DCOM 서버 프로세스 시작 관리자를 의미하며, 분산 구성 요소 개체 모델(DCOM) 서비스를 시작하는 역할을 합니다.

3. -p:

   • 프로세스가 영구적이어야 하며 예기치 않게 종료될 경우 다시 시작되어야 함을 나타냅니다.

DcomLaunch의 목적

• 시스템 구성 요소: 응용 프로그램 간 통신 활성화, 프로세스 활성화, 시스템 수준 RPC 요청 처리 등 많은 Windows 작업에 필수적입니다.
• 종속성: Windows 업데이트 및 COM 관련 응용 프로그램을 포함한 많은 핵심 서비스가 이 프로세스에 의존합니다.

---

Taskhostw.exe 및 키 로밍

taskhostw.exe

• 작업 호스트 창: Windows 작업을 위한 일반 호스트 프로세스입니다.
• 위치: 정식 실행 파일은 **C:\Windows\System32\**에 있습니다.

키 로밍

• Active Directory 환경에서 장치 간에 인증서 및 개인 키에 대한 자격 증명 로밍을 가능하게 하는 Windows 기능입니다.

연결:

• **taskhostw.exe**가 키 로밍과 상호 작용하는 경우 Active Directory 환경에서 자격 증명을 동기화하는 백그라운드 작업을 나타낼 수 있습니다.