Investigação LetsDefend: CVE-2024-49138

🔍 Visão Geral

Simulação prática de investigação SOC e resposta a incidentes usando LetsDefend, focada na exploração real de CVE-2024-49138 — uma vulnerabilidade de escalonamento de privilégios no driver CLFS do Windows.

📅 Detalhes do Evento

• ID do Evento: 313
• Tipo de Incidente: Escalonamento de Privilégios
• Data do Evento: 22 de jan. de 2025
• Nome do Host: Victor
• Endereço IP: 172.16.17.207
• Binário Malicioso: svohost.exe
• Processo Pai: powershell.exe
• Comando Suspeito: \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

🛠️ Ferramentas Utilizadas

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — Para decodificar comandos do PowerShell e analisar o comportamento
• Ambiente de Laboratório LetsDefend

🧠 Indicadores de Comprometimento

• Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• URL Maliciosa: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• IP Malicioso: 185.107.56.141

🧩 Principais Conclusões

• Identificado binário falso do sistema (svohost.exe) usado para escalonamento de privilégios.
• Atividade mapeada para as técnicas do MITRE ATT&CK.
• Uso de um conjunto de ferramentas em camadas para visibilidade completa (EDR, sandboxing, análise estática/dinâmica, IA).
• Obtive conhecimento sobre métodos de entrega de malware baseados em PowerShell.

🏁 Resultado

Realizei com sucesso a triagem, a investigação e a documentação da cadeia de ataque que explora a CVE-2024-49138. Este laboratório ajudou a reforçar minhas habilidades em resposta a incidentes, análise comportamental e detecção de ameaças.

🔎 Capturas de Tela da Investigação

Alerta Acionado no LetsDefend

Resultado do VirusTotal para o Hash Malicioso

🔬 Análise da Árvore de Processos

🧪 Uso do PowerShell e AbuseIPDB

📋 Anotações do Incidente

🪟 Artefatos do Windows

✅ Encerramento Final / Tarefa Concluída

---

“Ficando 1% melhor todos os dias.”