LetsDefend SOC336: 检测到Windows OLE零点击RCE利用

此存储库记录了我对一则LetsDefend告警的调查，该告警涉及与CVE-2025-21298相关的Windows OLE零点击远程代码执行漏洞利用。其目的是展示从电子邮件分类到端点抑制的整个推理过程。

概述

LetsDefend在检测到发送至[email protected]的入站邮件中包含恶意RTF附件后生成了此告警。邮件来自projectmanagement@pm[.]me，主题为Important: Action Required for Upcoming Project Deadline。我审查了邮件、附件、发件人详情以及端点活动，以确定该告警是否为真实告警。

此存储库展示的内容

• 电子邮件分类。
• 附件与哈希分析。
• 威胁情报关联。
• 端点与进程审查。
• C2及出站流量验证。
• 抑制决策制定。

文件

• writeup/SOC336-Windows-OLE-Zero-Click-RCE-Exploitation-Detected-CVE-2025-21298.md — 完整案例研究。
• screenshots/ — 报告中使用的证据截图。