SOC335 - CVE-2024-49138 익스플로잇 탐지

요약

이것은 제가 LetsDefend에서 수행한 SOC 실습 중 하나였습니다.

경보는 CVE-2024-49138에 관한 것이었습니다. 저는 경보를 조사하고, 의심스러운 해시를 VirusTotal에서 확인했으며, 관련 활동에 대해 사용 가능한 로그를 검색했습니다.

수행한 작업

• 초기 경보 조사
• 의심스러운 해시를 추출하여 VirusTotal에서 확인
• LetsDefend 로그 관리 확인
• 의심스러운 파일 및 프로세스 조사
• 관련 IP 주소 및 네트워크 활동 확인
• 활동 타임라인 작성
• IOC 식별

해시 조사

의심스러운 해시를 VirusTotal에 제출했습니다.

해시:

b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

VirusTotal 결과:

The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious

로그 조사

조사 중 발견한 지표를 사용하여 LetsDefend 로그를 검색했습니다.

제가 찾아본 항목 중 일부는 다음과 같습니다:

• 파일 이름
• 해시
• 프로세스
• IP 주소
• 호스트 이름
• 사용자

발견 사항:

IP 172.16.17.207에 대한 로그를 필터링하여 다음을 관찰했습니다:

• 185.107.56[.]141로부터의 다수의 무차별 대입 로그인 시도
• 성공적인 RDP 로그인
• 악성 C2 서버로의 아웃바운드 트래픽

IOC

Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe

결론

조사에 따르면, 피해 호스트는 정상적인 활동을 보이다가 성공적인 RDP 연결과 원격 Java 서버와의 아웃바운드 통신을 겪었습니다.

또한 해시 검사 결과 svohost.exe 파일이 악성임을 확인했습니다.

도구

• LetsDefend
• VirusTotal
• Endpoint Security
• Log Management

스크린샷

조사 중 촬영한 스크린샷은 screenshots 폴더에 저장되어 있습니다.

저장소 구조

SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
    ├── 01-VirusTotal-Detection.png
    ├── 02-Basic-Properties.png
    ├── 03-File-Name-VT.png
    ├── 04-Endpoint-Information.png
    ├── 05-Priviledge-Escalation.png
    ├── 06-Terminal-History.png
    ├── 07-Log-Management.png
    ├── 08-SIEM-Dashboard.png
    └── 09-Playbook-score.png

연결

이 프로젝트를 살펴봐 주셔서 감사합니다.

저는 네트워킹, Linux, 디지털 포렌식, 클라우드 컴퓨팅, SOC 분석 분야의 실습 랩을 완료하며 사이버보안 학습 여정을 기록하고 있습니다. 제가 다음에 무엇을 배우는지 보려면 다른 저장소도 자유롭게 살펴보세요.