mohamedbrek/soc335-cve-2024-49138-exploitation-detectedЛаборатория LetsDefend SOC расследует эксплуатацию CVE-2024-49138 и связанную с ней вредоносную активность.
Это было одно из упражнений в лаборатории SOC, которое я выполнял на LetsDefend.
Оповещение касалось CVE-2024-49138. Я исследовал оповещение, проверил подозрительный хеш на VirusTotal и выполнил поиск связанной активности в доступных журналах.
Я отправил подозрительный хеш на VirusTotal.
Хеш:
b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
Результат VirusTotal:
The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious
Я выполнил поиск в журналах LetsDefend, используя индикаторы, найденные в ходе расследования.
Среди того, что я искал:
Результаты:
Я отфильтровал журналы по IP: 172.16.17.207 и обнаружил:
Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe
Согласно расследованию, на хосте-жертве наблюдалась нормальная активность, после чего произошло успешное RDP-подключение, а также исходящая связь с удалённым Java-сервером.
Кроме того, проверка хеша также показала, что файл svohost.exe является вредоносным.
Скриншоты расследования хранятся в папке screenshots.
SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
├── 01-VirusTotal-Detection.png
├── 02-Basic-Properties.png
├── 03-File-Name-VT.png
├── 04-Endpoint-Information.png
├── 05-Priviledge-Escalation.png
├── 06-Terminal-History.png
├── 07-Log-Management.png
├── 08-SIEM-Dashboard.png
└── 09-Playbook-score.png
Спасибо за то, что уделили время просмотру этого проекта.
Я документирую свой путь обучения в области кибербезопасности, выполняя практические лабораторные работы по сетям, Linux, цифровой криминалистике, облачным вычислениям и анализу SOC. Не стесняйтесь изучать мои другие репозитории, чтобы увидеть, что я изучаю дальше.
