SOC335 - 检测到 CVE-2024-49138 漏洞利用

摘要

这是我在 LetsDefend 上完成的 SOC 实验练习之一。

该警报与 CVE-2024-49138 有关。我调查了该警报，在 VirusTotal 上检查了可疑哈希值，并在可用日志中搜索了相关活动。

我所做的工作

• 调查了初始警报
• 提取可疑哈希值并在 VirusTotal 上进行检查
• 检查了 LetsDefend 日志管理
• 调查了可疑文件和进程
• 检查了相关 IP 地址和网络活动
• 创建了活动时间线
• 识别了 IOC

哈希调查

我将可疑哈希值提交到了 VirusTotal。

哈希：

b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9

VirusTotal 结果：

The binary svohost.exe (SHA-256:b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9) was confirmed malicious

日志调查

我使用调查过程中发现的指标搜索了 LetsDefend 日志。

我查找的一些内容包括：

• 文件名
• 哈希值
• 进程
• IP 地址
• 主机名
• 用户

发现：

我筛选了 IP 为 172.16.17.207 的日志，并观察到：

• 来自 185.107.56[.]141 的多次暴力破解登录尝试
• 成功的 RDP 登录
• 向恶意 C2 服务器的出站流量

IOC

Hash: b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9
IP: 185.107.56.141
Domain: files-ld.s3.us-east-2.amazonaws.com
File: svohost.exe

结论

根据调查，受害主机最初表现出正常活动，随后发生了成功的 RDP 连接以及与远程 Java 服务器的出站通信。

此外，哈希检查也得出结论，文件 svohost.exe 是恶意的。

工具

• LetsDefend
• VirusTotal
• Endpoint Security
• Log Management

截图

调查截图存储在 screenshots 文件夹中。

仓库结构

SOC335-CVE-2024-49138/
├── README.md
└── screenshots/
    ├── 01-VirusTotal-Detection.png
    ├── 02-Basic-Properties.png
    ├── 03-File-Name-VT.png
    ├── 04-Endpoint-Information.png
    ├── 05-Priviledge-Escalation.png
    ├── 06-Terminal-History.png
    ├── 07-Log-Management.png
    ├── 08-SIEM-Dashboard.png
    └── 09-Playbook-score.png

联系

感谢您抽出时间查看本项目。

我通过在网络、Linux、数字取证、云计算和 SOC 分析方面完成实践实验，记录我的网络安全学习历程。欢迎浏览我的其他仓库，了解我接下来要学习的内容。