🛡️ SOC 调查报告：CVE-2024-49138 漏洞利用

📌 执行摘要

• 警报标题： SOC335 - 检测到 CVE-2024-49138 漏洞利用
• 严重性： 高
• 目标主机： Victor（172.16.17.207）
• 操作系统： Windows 10
• 主要用户： letsdefend
• 判定结果： 真阳性（已确认恶意活动）

---

🔍 调查方法

1. 进程与二进制分析

• 可疑文件： svohost.exe
• 执行路径： C:\temp\service_installer\svohost.exe
• 异常情况：
  • 进程伪装： 文件名仿冒合法的 Windows 系统文件 svchost.exe。
  • 路径位置： 系统二进制文件从 C:\Windows\System32\ 运行，而该二进制文件却从用户 temp 路径执行。

2. 威胁情报验证

• 文件哈希： b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
• VirusTotal 检测： 50/71 家安全厂商将该文件标记为恶意。
• 威胁分类： Trojan/Win64.MalwareX，并被标记为 cve-2024-49138 权限提升漏洞利用程序。

3. 日志管理与网络关联

• 查询了主机 IP 172.16.17.207 的 SIEM 日志。
• 调查发现： 确认存在与外部命令与控制（C2）IP 185.107.56.1 的出站网络连接。

---

🛑 遏制与补救措施

1. 主机隔离： 进入 EDR 终端安全控制台，将主机 Victor（172.16.17.207）的遏制状态切换为 已启用，以阻断网络横向移动。
2. 痕迹记录： 在案件管理系统中记录恶意文件哈希、C2 IP 及目标主机 IP。
3. 案件结案： 完成剧本分析，最终判定为 真阳性。

---

🎯 失陷指标（IOCs）