mohamedbrek/soc335-cve-2024-49138-exploitation-detectedLetsDefend SOC 랩에서 CVE-2024-49138 및 관련 악성 활동을 조사합니다.
이것은 제가 LetsDefend에서 수행한 SOC 실습 중 하나였습니다.
경보는 CVE-2024-49138에 관한 것이었습니다. 저는 경보를 조사하고, 의심스러운 해시를 VirusTotal에서 확인했으며, 관련 활동에 대해 사용 가능한 로그를 검색했습니다.
의심스러운 해시를 VirusTotal에 제출했습니다.
해시:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
VirusTotal 결과:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
조사 중 발견된 지표를 사용하여 LetsDefend 로그를 검색했습니다.
제가 찾아본 항목 중 일부는 다음과 같습니다:
발견 사항:
IP: 172.16.17.207에 대한 로그를 필터링하여 다음을 관찰했습니다:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9185.107.56.141files-ld.s3.us-east-2.amazonaws.comsvohost.exe조사에 따르면, 피해 호스트는 정상적인 활동을 보인 후 성공적인 RDP 연결과 원격 Java 서버와의 아웃바운드 통신을 겪었습니다.
또한, 해시 검사 결과 svohost.exe 파일이 악성인 것으로 결론지어졌습니다.
조사 중 촬영한 스크린샷은 screenshots 폴더에 저장되어 있습니다.