SOC336-Windows-OLE-Zero-Click-RCE-Exploitation-Detected-CVE-2025-21298

SOC336 - Обнаружена эксплуатация Windows OLE Zero-Click RCE (CVE-2025-21298) - Пошаговое руководство

🔎 Содержание

1. Ситуация
2. Обзор оповещения
3. Используемые инструменты
4. Анализ
• Безопасность электронной почты
• Управление журналами
• Прокси-журнал
• Безопасность конечных точек
• История терминала
• Сетевые действия
• Процессы
• CVE-2025-21298
5. Плейбук
6. Примечание аналитика
7. Ссылки

(Наверх)

Ситуация

Один из наших сотрудников, Остин, получил фишинговое письмо от подозрительного отправителя, и после того, как он открыл письмо в Outlook, 4 февраля 2025 года в 16:18, было сработано оповещение. Причина срабатывания: "Вредоносное вложение RTF с известным шаблоном эксплуатации CVE-2025-21298" .

(Наверх)

Обзор оповещения

EventID : 314

Время события : 4 февраля 2025, 16:18 (думаю, это неверно)

Правило : SOC336 - Обнаружена эксплуатация Windows OLE Zero-Click RCE (CVE-2025-21298)

Уровень : Аналитик безопасности

SMTP-адрес : 84.38.130.118

Адрес источника : [email protected]

Адрес назначения : [email protected]

Тема письма : Важно: Требуются действия для предстоящего дедлайна проекта

Вложение : mail.rtf

Хэш вложения : df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184

Действие устройства : Разрешено

Причина срабатывания : Обнаружено вредоносное вложение RTF с известным шаблоном эксплуатации CVE-2025-21298.

(Наверх)

Используемые инструменты

1. VirusTotal
2. AbuseIPDB
3. Gemini

(Наверх)

Анализ

Погрузимся в журналы безопасности электронной почты, управления журналами и безопасности конечных точек для триажа оповещения.

Безопасность электронной почты

Я выполнил поиск адреса отправителя projectmanagement@pm[.]me и открыл письмо с темой "Важно: Требуются действия для предстоящего дедлайна проекта", отправленное в 05:12 того же дня, что показалось мне странным, поскольку срочный тон и формулировки, такие как "Важно" и "Требуются действия", дали мне понять, что это фишинговое письмо.

Я выполнил поиск домена pm[.]me в VirusTotal, и только один вендор посчитал его подозрительным.

Однако, когда я выполнил поиск SMTP-адреса 84[.]38[.]130[.]118, 7 вендоров пометили его как вредоносный и содержащий вредоносное ПО, и он был связан с C2-сервером SILVER.

84[.]38[.]130[.]118 также был найден в базе данных AbuseIPDB. Он находится в Риге, Латвия, принадлежит домену rixhost.lv и классифицируется как DDoS-атака, взлом и эксплуатируемый хост.

Наконец, я выполнил поиск хэша df993d037cdb77a435d6993a37e7750dbbb16b2df64916499845b56aa9194184 вложения mail.rtf в VirusTotal, и 29 из 61 вендоров пометили вложение как вредоносное. Оно принадлежит семейству вредоносных программ rtfmalformb и связано с уязвимостью CVE-2025-21298.

Было подтверждено, что Остину было отправлено фишинговое письмо с вредоносным вложением.

(Наверх)