mohamedbrek/soc335-cve-2024-49138-exploitation-detectedLetsDefend SOC lab investigando a exploração da CVE-2024-49138 e atividades maliciosas relacionadas.
Este foi um dos exercícios de laboratório de SOC que realizei no LetsDefend.
O alerta era sobre a CVE-2024-49138. Investiguei o alerta, verifiquei um hash suspeito no VirusTotal e procurei nos logs disponíveis por atividades relacionadas.
Submeti o hash suspeito ao VirusTotal.
Hash:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
Resultado do VirusTotal:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
Pesquisei nos logs do LetsDefend usando os indicadores encontrados durante a investigação.
Algumas das coisas que procurei foram:
Descobertas:
Filtrei os logs para o IP: 172.16.17.207 e observei:
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
De acordo com a investigação, o host vítima apresentou atividades normais e depois passou por uma conexão RDP bem-sucedida, bem como comunicação de saída com o servidor Java remoto.
Além disso, o exame do hash também concluiu que o arquivo svohost.exe era malicioso.
As capturas de tela da investigação estão armazenadas na pasta screenshots.
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
Obrigado por dedicar seu tempo para visualizar este projeto.
Estou documentando minha jornada de aprendizado em cibersegurança completando laboratórios práticos em redes, Linux, forense digital, computação em nuvem e análise de SOC. Sinta-se à vontade para explorar meus outros repositórios para ver o que estou aprendendo a seguir.
