Mission SOC 7 — Exploitation de Log4Shell : de l'alerte au correctif

Plusieurs alertes sur le serveur web lnx-web01 : requête HTTP piégée, rappel sortant, exécution d'un script, puis l'EDR signale un mineur de cryptomonnaie. Reconstituez, contenez, corrigez.

1. Dans /var/log/nginx/access.log, trouvez la chaîne d'exploitation (jndi) : IP de l'attaquant → answer ip <adresse>, serveur de rappel LDAP → answer rappel <ip:port>
2. Version de log4j-core embarquée par l'application (/opt/shop/lib) → answer version <x.y.z>
3. Contenez : arrêtez et désactivez le service du mineur (repérez-le avec ps), supprimez la persistance planifiée du compte shop
4. Bloquez en sortie (chaîne output de /etc/nftables.conf) tout trafic vers le serveur de l'attaquant 203.0.113.77, puis rechargez nftables — le DNS interne 10.0.0.53 doit rester joignable
5. Corrigez : remplacez log4j-core-2.14.1.jar par la version 2.17.1 disponible dans /opt/repo