Ejecución: Se cargó una biblioteca maliciosa agregada

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos cuando detectan una amenaza potencial en tus recursos alojados en la nube. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Se cargó una biblioteca maliciosa que no formaba parte de la imagen del contenedor original. Los atacantes podrían cargar bibliotecas maliciosas en programas existentes para omitir las protecciones de ejecución de código y ocultar código malicioso.

Container Threat Detection es la fuente de este hallazgo.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Execution: Added Malicious Library Loaded, como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las secciones siguientes:

    • Qué se detectó, en especial, los campos siguientes:
      • Objeto binario del programa: Es la ruta de acceso completa al objeto binario del proceso que cargó la biblioteca.
      • Bibliotecas: Son los datos de la biblioteca que se agregó.
      • Argumentos: Son los argumentos que se proporcionan cuando se invoca el objeto binario del proceso.
      • Contenedores: Es el nombre del contenedor afectado.
      • URI de contenedores: Es el nombre de la imagen de contenedor que se implementa.
    • Recurso afectado, en especial, los campos que se indican a continuación:
    • Vínculos relacionados, en especial, los campos siguientes:
      • Indicador de VirusTotal: Es el vínculo a la página de análisis de VirusTotal.

  3. Haz clic en la pestaña JSON y observa los campos siguientes:

    • sourceProperties:
      • VM_Instance_Name: Es el nombre del nodo de GKE en el que se ejecutó el Pod.

Paso 2: Revisa el clúster y el nodo

  1. En la consola de Google Cloud , accede a la página Clústeres de Kubernetes.

    Acceder a Clústeres de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Elige el clúster que aparece en la fila Nombre completo del recurso en la pestaña Resumen de los detalles del hallazgo. Toma nota de los metadatos sobre el clúster y su propietario.

  4. Haz clic en la pestaña Nodos. Elige el nodo que aparece en VM_Instance_Name.

  5. Haz clic en la pestaña Detalles y toma nota de la anotación container.googleapis.com/instance_id.

Paso 3: Revisa el Pod

  1. En la consola de Google Cloud , accede a la página Cargas de trabajo de Kubernetes.

    Acceder a Cargas de trabajo de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Si se requiere, filtra el clúster que aparece en la fila Nombre completo del recurso de la pestaña Resumen de los detalles del hallazgo y el espacio de nombres del Pod que aparece en Pod_Namespace.

  4. Elige el Pod que aparece en Pod_Name. Toma nota de los metadatos del Pod y su propietario.

Paso 4: Revisa los registros

  1. En la consola de Google Cloud , accede al Explorador de registros.

    Acceder al Explorador de registros

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Establece la opción Selecciona un intervalo de tiempo en función del período de interés.

  4. En la página que se carga, haz lo que se indica a continuación:

    1. Busca los registros del Pod por Pod_Name con el filtro siguiente:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Busca los registros de auditoría del clúster con el filtro siguiente:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Busca los registros de la consola de los nodos de GKE con el filtro siguiente:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor aún está en ejecución, se puede investigar directamente su entorno.

  1. Accede a la consola de Google Cloud .

    Abrir la consola de Google Cloud

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Haz clic en Activar Cloud Shell.

  4. Para obtener las credenciales de GKE del clúster, ejecuta los comandos siguientes.

    Para los clústeres zonales, usa lo siguiente:

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    Para los clústeres regionales, usa lo siguiente:

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. Recupera la biblioteca maliciosa que se agregó:

      kubectl cp Pod_Namespace/Pod_Name: Added_Library_Fullpath -c Container_Name  local_file

    Reemplaza local_file por una ruta de acceso local para almacenar la biblioteca maliciosa que se agregó.

  6. Usa el comando siguiente para conectarte al entorno del contenedor:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga una shell instalada en /bin/sh.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework MITRE ATT&CK para este tipo de hallazgo: Transferencia de herramientas de entrada y Módulos compartidos.
  2. Para comprobar el valor de hash SHA-256 del objeto binario marcado como malicioso en VirusTotal, haz clic en el vínculo del indicador de VirusTotal. VirusTotal es un servicio propiedad de Alphabet que proporciona contexto sobre archivos, URL, dominios y direcciones IP potencialmente maliciosos.
  3. Para elaborar un plan de respuesta, combina los resultados que recopilaste con la investigación de MITRE y el análisis de VirusTotal.

Paso 7: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto cuyo contenedor se vio vulnerado.
  • Detén o borra el contenedor vulnerado y reemplázalo por un contenedor nuevo.

¿Qué sigue?