Exploit for SOC-Investigation

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-BASITSAJIDAPPLY-STACK-SOC-INVESTIGATION-CVE-2024-49138
# 🛡️ SOC जांच रिपोर्ट: CVE-2024-49138 शोषण

## 📌 कार्यकारी सारांश

  * **अलर्ट शीर्षक:** SOC335 - CVE-2024-49138 शोषण का पता चला
  * **गंभीरता:** उच्च
  * **लक्ष्य होस्ट:** Victor (`172.16.17.207`)
  * **ऑपरेटिंग सिस्टम:** Windows 10
  * **प्राथमिक उपयोगकर्ता:** letsdefend
  * **निर्णय:** सही सकारात्मक (दुर्भावनापूर्ण गतिविधि की पुष्टि हुई)



* * *

## 🔍 जांच पद्धति

### 1\. प्रक्रिया और बाइनरी विश्लेषण

  * **संदिग्ध फ़ाइल:** `svohost.exe`
  * **निष्पादन पथ:** `C:\temp\service_installer\svohost.exe`
  * **विसंगतियाँ:**
    * **प्रक्रिया मास्करेडिंग:** नाम वैध Windows सिस्टम फ़ाइल `svchost.exe` की नकल करता है।
    * **पथ स्थान:** सिस्टम बाइनरी `C:\Windows\System32\` से चलती हैं, जबकि यह बाइनरी उपयोगकर्ता के `temp` पथ से निष्पादित हुई।



### 2\. थ्रेट इंटेलिजेंस सत्यापन

  * **फ़ाइल हैश:** `b432dcf4a0f0b601b1d79848467137a5e25cab5a0b7b1224be9d3b6540122db9`
  * **VirusTotal डिटेक्शन:** **50/71** सुरक्षा विक्रेताओं ने फ़ाइल को दुर्भावनापूर्ण बताया।
  * **खतरा वर्गीकरण:** `Trojan/Win64.MalwareX`, जिसे `cve-2024-49138` विशेषाधिकार वृद्धि शोषण के रूप में टैग किया गया है।



### 3\. लॉग प्रबंधन और नेटवर्क सहसंबंध

  * होस्ट IP `172.16.17.207` के लिए SIEM लॉग क्वेरी किए गए।
  * **निष्कर्ष:** बाहरी कमांड एंड कंट्रोल (C2) IP `185.107.56.1` से आउटबाउंड नेटवर्क कनेक्शन की पुष्टि हुई।



* * *

## 🛑 रोकथाम और उपचारात्मक कार्रवाइयाँ

  1. **होस्ट आइसोलेशन:** EDR एंडपॉइंट सुरक्षा पर जाकर होस्ट `Victor` (`172.16.17.207`) के लिए **कंटेनमेंट: सक्षम** टॉगल किया गया ताकि नेटवर्क ट्रैवर्सल को अवरुद्ध किया जा सके।
  2. **आर्टिफैक्ट लॉगिंग:** केस प्रबंधन में दुर्भावनापूर्ण फ़ाइल हैश, C2 IP और लक्ष्य होस्ट IP दर्ज किए गए।
  3. **केस समापन:** प्लेबुक विश्लेषण को **सही सकारात्मक** के रूप में अंतिम रूप दिया गया।



* * *

## 🎯 समझौता संकेतक (IOCs)