letsdefend-cve-2024-49138-investigation

Практическое расследование SOC по CVE-2024-49138 с использованием LetsDefend, VirusTotal, Hybrid Analysis, TrueFort и ChatGPT.

• VirusTotal
• Hybrid Analysis
• TrueFort
• ChatGPT — Для декодирования команд PowerShell и анализа поведения
• Лабораторная среда LetsDefend

🧠 Индикаторы компрометации

• Хэш: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• Вредоносный URL: https://files-ld.s3.us-east-2.amazonaws.com/service-installer.zip
• Вредоносный IP: 185.107.56.141

🧩 Ключевые выводы

• Обнаружен поддельный системный бинарник (svohost.exe), используемый для повышения привилегий.
• Сопоставлена активность с техниками MITRE ATT&CK.
• Использован многоуровневый набор инструментов для полной видимости (EDR, песочница, статический/динамический анализ, ИИ).
• Получено представление о методах доставки вредоносного ПО на основе PowerShell.

🏁 Результат

Успешно проведены триаж, расследование и документирование цепочки атак с использованием CVE-2024-49138. Эта лабораторная работа помогла укрепить мои навыки в реагировании на инциденты, поведенческом анализе и обнаружении угроз.

🔎 Скриншоты расследования

Сработавшее оповещение в LetsDefend

Результат VirusTotal для вредоносного хэша

🔬 Анализ дерева процессов

🧪 Использование PowerShell и AbuseIPDB

📋 Заметки по инциденту

🪟 Артефакты Windows

✅ Финальное завершение / Отметка задачи

«Становиться на 1% лучше каждый день.»