Commande et contrôle : outil de stéganographie détecté
CLOUD_RUN_STEGANOGRAPHY_TOOL_DETECTED
Un programme identifié comme un outil de stéganographie a été exécuté, ce qui indique une tentative potentielle de dissimulation de communication ou de transfert de données.
Les pirates informatiques peuvent utiliser des techniques stéganographiques pour intégrer des instructions de commande et de contrôle (C2) malveillantes ou des données exfiltrées dans des fichiers numériques apparemment inoffensifs, dans le but d'échapper à la surveillance et à la détection de sécurité standard. Il est essentiel d'identifier l'utilisation de tels outils pour déceler les activités malveillantes cachées.
Accès aux identifiants : recherche d'identifiants Google Cloud
CLOUD_RUN_FIND_GCP_CREDENTIALS
Une commande a été exécutée pour rechercher des clés privées, des mots de passe ou d'autres identifiants sensibles dans l'environnement de conteneur. Google Cloud
Un pirate informatique peut utiliser des identifiants Google Cloud volés pour obtenir un accès non autorisé à des données ou ressources sensibles dans l'environnement Google Cloud ciblé.
Accès aux identifiants : reconnaissance des clés GPG
CLOUD_RUN_GPG_KEY_RECONNAISSANCE
Une commande a été exécutée pour rechercher des clés de sécurité GPG.
Un pirate informatique peut utiliser des clés de sécurité GPG volées pour accéder de manière non autorisée à des communications ou des fichiers chiffrés.
Accès aux identifiants : rechercher des clés privées ou des mots de passe
CLOUD_RUN_SEARCH_PRIVATE_KEYS_OR_PASSWORDS
Une commande a été exécutée pour rechercher des clés privées, des mots de passe ou d'autres identifiants sensibles dans l'environnement du conteneur, ce qui indique une tentative potentielle de collecte de données d'authentification.
Les pirates informatiques recherchent souvent des fichiers d'identifiants pour accéder de manière non autorisée à des systèmes, obtenir des droits plus élevés ou se déplacer latéralement dans l'environnement. Il est essentiel de détecter ce type d'activité pour éviter les failles de sécurité.
Éviction de défense : ligne de commande avec fichier ELF en base64
CLOUD_RUN_BASE64_ELF_FILE_CMDLINE
Un processus a été exécuté avec un argument de type fichier ELF (Executable and Linkable Format).
La détection de l'exécution d'un fichier ELF encodé indique qu'un pirate informatique tente peut-être d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Les pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un fichier ELF.
Évasion de la défense : script Python encodé en base64 exécuté
CLOUD_RUN_BASE64_ENCODED_PYTHON_SCRIPT_EXECUTED
Un processus a été exécuté avec un argument de type "script Python encodé en base64".
Si l'exécution d'un script Python encodé est détectée, cela indique qu'un pirate informatique tente d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Des pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un script Python.
Évasion de la défense : script shell encodé en base64 exécuté
CLOUD_RUN_BASE64_ENCODED_SHELL_SCRIPT_EXECUTED
Un processus a été exécuté avec un argument de type "script shell encodé en base64".
Si l'exécution d'un script shell encodé est détectée, cela indique qu'un pirate informatique tente d'encoder des données binaires pour les transférer vers des lignes de commande ASCII uniquement. Des pirates informatiques peuvent utiliser cette technique pour échapper à la détection et exécuter du code malveillant intégré à un script shell.
Évasion de la défense : lancer un outil de compilation de code dans un conteneur
CLOUD_RUN_LAUNCH_CODE_COMPILER_TOOL_IN_CONTAINER
Un processus a été lancé pour exécuter un outil de compilation de code dans l'environnement de conteneur, ce qui indique une tentative potentielle de compilation ou de modification de code exécutable dans un contexte isolé.
Les pirates informatiques peuvent utiliser des compilateurs de code dans des conteneurs pour développer des charges utiles malveillantes, injecter du code dans des binaires existants ou créer des outils permettant de contourner les contrôles de sécurité. Tout cela se fait dans un environnement moins surveillé afin d'échapper à la détection sur le système hôte.
Exécution : binaire malveillant ajouté exécuté
CLOUD_RUN_ADDED_MALICIOUS_BINARY_EXECUTED
Un binaire répondant aux conditions suivantes a été exécuté :
Identifié comme étant malveillant selon les renseignements sur les menaces
Ne fait pas partie de l'image de conteneur d'origine
Si un fichier binaire malveillant ajouté est exécuté, cela indique clairement qu'un pirate informatique a le contrôle de la charge de travail et qu'il exécute un logiciel malveillant.
Exécution : bibliothèque malveillante ajoutée chargée
CLOUD_RUN_ADDED_MALICIOUS_LIBRARY_LOADED
Une bibliothèque répondant aux conditions suivantes a été chargée :
Identifié comme étant malveillant selon les renseignements sur les menaces
Ne fait pas partie de l'image de conteneur d'origine
Si une bibliothèque malveillante ajoutée est chargée, cela indique clairement qu'un pirate informatique a le contrôle de la charge de travail et qu'il exécute un logiciel malveillant.
Exécution : binaire malveillant intégré exécuté
CLOUD_RUN_BUILT_IN_MALICIOUS_BINARY_EXECUTED
Un binaire répondant aux conditions suivantes a été exécuté :
Identifié comme étant malveillant selon les renseignements sur les menaces
Inclus dans l'image de conteneur d'origine
Si un fichier binaire malveillant intégré est exécuté, cela signifie que le pirate informatique déploie des conteneurs malveillants. Il est possible qu'ils aient pris le contrôle d'un dépôt d'images ou d'un pipeline de compilation de conteneurs légitimes, et qu'ils aient injecté un fichier binaire malveillant dans l'image de conteneur.
Exécution : échappement de conteneur
CLOUD_RUN_CONTAINER_ESCAPE
Un processus a été exécuté dans le conteneur et a tenté de sortir de l'isolation du conteneur à l'aide de techniques ou de binaires d'échappement connus. Ce type d'attaque peut donner accès au pirate informatique au système hôte. Ces processus sont identifiés comme des menaces potentielles en fonction des données de renseignement.
Si une tentative de fuite du conteneur est détectée, cela peut indiquer qu'un pirate informatique exploite des failles pour sortir du conteneur.
L'attaquant peut ainsi accéder sans autorisation au système hôte ou à une infrastructure plus large, ce qui compromet l'ensemble de l'environnement.
Exécution : exécution sans fichier dans /memfd :
CLOUD_RUN_FILELESS_EXECUTION_DETECTION_MEMFD
Un processus a été exécuté à l'aide d'un descripteur de fichier en mémoire.
Un processus lancé à partir d'un fichier en mémoire peut indiquer qu'un pirate informatique tente de contourner d'autres méthodes de détection pour exécuter du code malveillant.
Exécution : exécution d'un outil d'attaque de Kubernetes
CLOUD_RUN_KUBERNETES_ATTACK_TOOL_EXECUTION
Un outil d'attaque spécifique à Kubernetes a été exécuté dans l'environnement, ce qui peut indiquer qu'un pirate informatique cible les composants du cluster Kubernetes. Ces outils d'attaque sont identifiés comme des menaces potentielles sur la base de données de renseignements.
Si un outil d'attaque est exécuté dans l'environnement Kubernetes, cela peut suggérer qu'un pirate informatique a obtenu l'accès au cluster et utilise l'outil pour exploiter des failles ou des configurations spécifiques à Kubernetes.
Exécution : exécution d'un outil de reconnaissance local
CLOUD_RUN_LOCAL_RECONNAISSANCE_TOOL_EXECUTION
Un outil de reconnaissance local qui n'est généralement pas associé au conteneur ni à l'environnement a été exécuté, ce qui suggère une tentative de collecte d'informations sur le système interne. Ces outils de reconnaissance sont identifiés comme des menaces potentielles en fonction des données de renseignement.
Si un outil de reconnaissance est exécuté, cela suggère que l'attaquant tente peut-être de cartographier l'infrastructure, d'identifier les failles ou de collecter des données sur les configurations système pour planifier ses prochaines étapes.
Exécution : code Python malveillant exécuté
CLOUD_RUN_MALICIOUS_PYTHON_EXECUTED
Un modèle de machine learning a identifié le code Python spécifié comme malveillant. Les pirates informatiques peuvent utiliser Python pour transférer des outils ou d'autres fichiers d'un système externe vers un environnement compromis afin d'exécuter des commandes sans binaires.
Le détecteur utilise des techniques de NLP pour évaluer le contenu du code Python exécuté. Étant donné que cette approche n'est pas basée sur les signatures, les détecteurs peuvent identifier le code Python connu et nouveau.
Remarque : Si vous activez la résidence des données pour un emplacement spécifique, ce détecteur ne peut pas être activé et ne génère pas de résultats dans cet emplacement.
Exécution : binaire malveillant modifié exécuté
CLOUD_RUN_MODIFIED_MALICIOUS_BINARY_EXECUTED
Un binaire répondant aux conditions suivantes a été exécuté :
Identifié comme étant malveillant selon les renseignements sur les menaces
Inclus dans l'image de conteneur d'origine
Modifié à partir de l'image de conteneur d'origine pendant l'exécution
Si un fichier binaire malveillant modifié est exécuté, cela indique clairement qu'un pirate informatique a le contrôle de la charge de travail et qu'il exécute un logiciel malveillant.
Exécution : bibliothèque malveillante modifiée chargée
CLOUD_RUN_MODIFIED_MALICIOUS_LIBRARY_LOADED
Une bibliothèque répondant aux conditions suivantes a été chargée :
Identifié comme étant malveillant selon les renseignements sur les menaces
Inclus dans l'image de conteneur d'origine
Modifié à partir de l'image de conteneur d'origine pendant l'exécution
Si une bibliothèque malveillante modifiée est chargée, cela indique clairement qu'un pirate informatique a le contrôle de la charge de travail et qu'il exécute un logiciel malveillant.
Exécution : exécution de code Netcat à distance dans un conteneur
CLOUD_RUN_NETCAT_REMOTE_CODE_EXECUTION_IN_CONTAINER
Netcat, un utilitaire réseau polyvalent, a été exécuté dans l'environnement de conteneur, ce qui peut indiquer une tentative d'établir un accès à distance non autorisé ou d'exfiltrer des données.
L'utilisation de Netcat dans un environnement conteneurisé peut indiquer une tentative de la part d'un pirate informatique de créer un shell inversé, d'activer le déplacement latéral ou d'exécuter des commandes arbitraires, ce qui peut compromettre l'intégrité du système.
Exécution : exécution possible de commandes arbitraires via CUPS (CVE-2024-47076)
CLOUD_RUN_POSSIBLE_ARBITRARY_COMMAND_EXECUTION_THROUGH_CUPS
Cette règle détecte le processus foomatic-rip exécutant des programmes shell courants, ce qui peut indiquer qu'un pirate informatique a exploité la faille CVE-2024-47076. foomatic-rip fait partie d'OpenPrinting CUPS, un service d'impression Open Source qui fait partie de nombreuses distributions Linux. La plupart des images de conteneur ont ce service d'impression désactivé ou supprimé. Si cette détection se produit, évaluez s'il s'agit d'un comportement prévu ou désactivez immédiatement le service.
Exécution : exécution possible de commandes à distance détectée
CLOUD_RUN_POSSIBLE_REMOTE_COMMAND_EXECUTION_DETECTED
Un processus a été détecté en train de générer des commandes UNIX courantes via une connexion de socket réseau, ce qui indique une tentative potentielle d'établir des capacités d'exécution de commandes à distance non autorisées.
Les pirates informatiques utilisent fréquemment des techniques qui imitent les shells inversés pour obtenir un contrôle interactif sur un système piraté, ce qui leur permet d'exécuter des commandes arbitraires à distance et de contourner les mesures de sécurité réseau standards telles que les restrictions de pare-feu. La détection de l'exécution de commandes sur un socket est un indicateur fort d'accès à distance malveillant.
Exécution : exécution d'un programme avec un environnement de proxy HTTP non autorisé
CLOUD_RUN_PROGRAM_RUN_WITH_DISALLOWED_HTTP_PROXY_ENV
Un programme a été exécuté avec une variable d'environnement de proxy HTTP non autorisée. Cela peut indiquer une tentative de contournement des contrôles de sécurité, de redirection du trafic à des fins malveillantes ou d'exfiltration de données par des canaux non autorisés.
Les pirates informatiques peuvent configurer des proxys HTTP non autorisés pour intercepter des informations sensibles, acheminer le trafic via des serveurs malveillants ou établir des canaux de communication secrets. Il est essentiel de détecter l'exécution de programmes avec ces variables d'environnement pour maintenir la sécurité du réseau et éviter les fuites de données.
Exécution : shell inversé de Socat détecté
CLOUD_RUN_SOCAT_REVERSE_SHELL_DETECTED
La commande socat a été utilisée pour créer un shell inversé.
Cette règle détecte l'exécution de socat pour créer un shell inversé en redirigeant les descripteurs de fichier stdin, stdout et stderr. Il s'agit d'une technique courante utilisée par les pirates informatiques pour accéder à distance à un système piraté.
Exécution : objet partagé OpenSSL suspect chargé
CLOUD_RUN_SUSPICIOUS_OPENSSL_SHARED_OBJECT_LOADED
OpenSSL a été exécuté pour charger un objet partagé personnalisé.
Les pirates informatiques peuvent charger des bibliothèques personnalisées et remplacer les bibliothèques existantes utilisées par OpenSSL afin d'exécuter du code malveillant. Son utilisation en production est rare et doit faire l'objet d'une enquête immédiate.
Exfiltration : Lancer des outils de copie de fichiers à distance dans un conteneur
CLOUD_RUN_LAUNCH_REMOTE_FILE_COPY_TOOLS_IN_CONTAINER
L'exécution d'un outil de copie de fichiers à distance a été détectée dans le conteneur, ce qui indique une exfiltration de données potentielle, un déplacement latéral ou le déploiement de charges utiles malveillantes.
Les pirates informatiques utilisent souvent ces outils pour transférer des données sensibles en dehors du conteneur, se déplacer latéralement sur le réseau pour compromettre d'autres systèmes ou introduire des logiciels malveillants pour d'autres activités malveillantes.
La détection de l'utilisation d'outils de copie de fichiers à distance est essentielle pour prévenir les fuites de données, les accès non autorisés et la compromission du conteneur et potentiellement du système hôte.
Impact : Détecter les lignes de commande malveillantes
CLOUD_RUN_DETECT_MALICIOUS_CMDLINES
Une commande a été exécutée avec des arguments connus pour être potentiellement destructeurs, comme des tentatives de suppression de fichiers système critiques ou de modification de configurations liées aux mots de passe.
Les pirates informatiques peuvent émettre des lignes de commande malveillantes pour provoquer l'instabilité du système, empêcher la récupération en supprimant des fichiers essentiels ou obtenir un accès non autorisé en manipulant les identifiants utilisateur. La détection de ces modèles de commandes spécifiques est essentielle pour éviter un impact important sur le système.
Impact : supprimer des données du disque de manière groupée
CLOUD_RUN_REMOVE_BULK_DATA_FROM_DISK
Un processus a été détecté en train d'effectuer des opérations de suppression de données en masse, ce qui peut indiquer une tentative d'effacer des preuves, de perturber des services ou d'exécuter une attaque d'effacement de données dans l'environnement de conteneur.
Les pirates informatiques peuvent supprimer de grands volumes de données pour effacer leurs traces, saboter des opérations ou préparer le déploiement d'un ransomware. La détection de ce type d'activité permet d'identifier les menaces potentielles avant qu'une perte de données critiques ne se produise.
Impact : activité de minage de cryptomonnaie suspecte utilisant le protocole Stratum
CLOUD_RUN_SUSPICIOUS_CRYPTO_MINING_ACTIVITY_USING_STRATUM_PROTOCOL
Un processus de communication via le protocole Stratum, couramment utilisé par les logiciels de minage de cryptomonnaie, a été détecté. Cette activité suggère des opérations de minage non autorisées potentielles dans l'environnement de conteneur.
Les pirates informatiques déploient souvent des mineurs de cryptomonnaie pour exploiter les ressources système à des fins financières, ce qui entraîne une dégradation des performances, une augmentation des coûts opérationnels et des risques de sécurité potentiels. La détection de ce type d'activité permet d'atténuer l'utilisation abusive des ressources et les accès non autorisés.
Script malveillant exécuté
CLOUD_RUN_MALICIOUS_SCRIPT_EXECUTED
Un modèle de machine learning a identifié le code Bash spécifié comme malveillant. Les pirates informatiques peuvent utiliser Bash pour transférer des outils ou d'autres fichiers d'un système externe vers un environnement compromis afin d'exécuter des commandes sans binaires.
Le détecteur utilise des techniques de TLN pour évaluer le contenu du code Bash exécuté. Étant donné que cette approche n'est pas basée sur les signatures, les détecteurs peuvent identifier les codes Bash malveillants connus et nouveaux.
Remarque : Si vous activez la résidence des données pour un emplacement spécifique, ce détecteur ne peut pas être activé et ne génère pas de résultats dans cet emplacement.
URL malveillante observée
CLOUD_RUN_MALICIOUS_URL_OBSERVED
La détection des menaces Cloud Run a identifié une URL malveillante dans la liste des arguments d'un processus en cours d'exécution.
Le détecteur compare les URL observées dans la liste des arguments des processus en cours d'exécution aux listes de ressources Web non sécurisées gérées par le service Google
Navigation sécurisée . Si une URL est classée à tort comme site d'hameçonnage ou logiciel malveillant, signalez-le sur la page
Signaler des données incorrectes .
Élévation des privilèges : utilisation abusive de Sudo pour l'élévation des privilèges (CVE-2019-14287)
CLOUD_RUN_ABUSE_SUDO_FOR_PRIVILEGE_ESCALATION
sudo a été exécuté avec des arguments qui tentent d'élever les privilèges.
Cette règle détecte une tentative d'exploitation de la faille CVE-2019-14287, qui permet l'élévation des privilèges en abusant de la commande sudo. Les versions de sudo antérieures à la version 1.8.28 comportaient un exploit qui permettait à un utilisateur non racine d'obtenir des droits racine.
Élévation des privilèges : faille liée à l'élévation des privilèges locaux de Polkit (CVE-2021-4034)
CLOUD_RUN_POLKIT_LOCAL_PRIVILEGE_ESCALATION_VULNERABILITY
Un utilisateur non racine a exécuté pkexec avec des variables d'environnement qui tentent d'élever les privilèges.
Cette règle détecte une tentative d'exploitation d'une faille d'élévation des privilèges (CVE-2021-4034) dans pkexec de Polkit. En exécutant du code spécialement conçu, un utilisateur non racine peut exploiter cette faille pour obtenir des droits racine sur un système compromis.
Élévation des privilèges : élévation potentielle des privilèges de Sudo (CVE-2021-3156)
CLOUD_RUN_SUDO_POTENTIAL_PRIVILEGE_ESCALATION
Un utilisateur non root a exécuté sudo ou sudoedit avec un modèle d'arguments qui tente d'élever les privilèges.
Détecte une tentative d'exploitation d'une faille affectant les versions 1.9.5p2 et antérieures de sudo. L'exécution de sudo ou sudoedit avec certains arguments, y compris un argument se terminant par une seule barre oblique inverse, en tant qu'utilisateur non privilégié peut élever les privilèges de l'utilisateur à ceux d'un utilisateur racine.
Interface système inversée
CLOUD_RUN_REVERSE_SHELL
Un processus a commencé par une redirection de flux vers un socket connecté distant. Le détecteur recherche stdin lié à un socket distant.
Grâce à l'interface système inversée, un pirate informatique peut communiquer à partir d'une charge de travail compromise vers une machine contrôlée par un pirate informatique. Le pirate informatique peut ensuite commander et contrôler la charge de travail, par exemple dans le cadre d'un botnet.
Shell enfant inattendu
CLOUD_RUN_UNEXPECTED_CHILD_SHELL
Un processus qui n'appelle normalement pas de shells a généré un processus de shell.
Le détecteur surveille toutes les exécutions de processus. Lorsqu'un shell est appelé, le détecteur génère un résultat si le processus parent est connu pour ne pas appeler généralement de shells.
