Malware: IP incorrecta de criptominería

En este documento, se describe un tipo de hallazgo de amenazas de Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando identifican una posible amenaza en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

El malware se detecta con el examen de los registros del flujo de VPC y de los registros de Cloud DNS para las conexiones a dominios de control y comandos conocidos y a direcciones IP.

Event Threat Detection es la fuente de este hallazgo.

Cómo se debe responder

Para responder a este hallazgo, sigue los pasos que se indican a continuación:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Malware: Cryptomining Bad IP, como se indica en Revisa los hallazgos. Se abrirá el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las secciones que se indican a continuación:

    • Qué se detectó, en especial, los campos siguientes:
      • IP de origen: Es la posible dirección IP de criptominería.
      • Puerto de origen: Es el puerto de origen de la conexión, si está disponible.
      • IP de destino: Es la dirección IP de destino.
      • Puerto de destino: Es el puerto de destino de la conexión, si está disponible.
      • Protocolo: Es el protocolo de IANA asociado con la conexión.
    • Recurso afectado
    • Vínculos relacionados, incluidos los siguientes campos:
      • URI de Logging: Es el vínculo a las entradas de Logging.
      • Método MITRE ATT&CK: Es el vínculo a la documentación de MITRE ATT&CK.
      • Hallazgos relacionados: Son los vínculos a los hallazgos relacionados.
      • Flow Analyzer: Es el vínculo a la función Flow Analyzer de Network Intelligence Center. Este campo solo se muestra cuando los registros de flujo de VPC están habilitados.

  3. En la vista de detalles del hallazgo, haz clic en la pestaña Propiedades fuente.

  4. Expande properties y anota los valores del proyecto y de la instancia en el siguiente campo:

    • instanceDetails: Toma nota del ID del proyecto y el nombre de la instancia de Compute Engine. El ID del proyecto y el nombre de la instancia aparecen como se muestra en el siguiente ejemplo:

      /projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME

  5. Para ver el archivo JSON completo del hallazgo, haz clic en la pestaña JSON.

Paso 2: Revisa los permisos y la configuración

  1. En la consola de Google Cloud , ve a la página Panel.

    Ir al panel

  2. Elige el proyecto que se especifica en properties_project_id.

  3. Navega a la tarjeta Recursos y haz clic en Compute Engine..

  4. Haz clic en la instancia de VM que coincide con properties_sourceInstance. Investiga la instancia potencialmente comprometida en busca de malware.

  5. En el panel de navegación, haz clic en Red de VPC y, luego, en Firewall. Quita o inhabilita las reglas de firewall con demasiados permisos.

Paso 3: Comprueba los registros

  1. En la consola de Google Cloud , accede al Explorador de registros.

    Ir al Explorador de registros

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto.

  3. En la página que se carga, busca los registros del flujo de VPC relacionados con Properties_ip_0 con el siguiente filtro:

    • logName="projects/properties_project_id/logs/compute.googleapis.com%2Fvpc_flows"
    • (jsonPayload.connection.src_ip="Properties_ip_0" OR jsonPayload.connection.dest_ip="Properties_ip_0")

Paso 4: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework de MITRE ATT&CK para este tipo de hallazgo: Secuestro de recursos.
  2. Para elaborar un plan de respuesta, combina los resultados de la investigación con la investigación de MITRE.

Paso 5: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas durante la investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto que contiene malware.
  • Investiga la instancia potencialmente comprometida y quita cualquier malware que se haya descubierto. Para ayudar con la detección y la eliminación, usa una solución de detección y respuesta de extremos.
  • Si es necesario, detén la instancia comprometida y reemplázala por una nueva.

  • Bloquea las direcciones IP maliciosas con las actualizaciones de las reglas de firewall o con Cloud Armor. Según el volumen de datos, los costos de Cloud Armor pueden ser significativos. Consulta la guía de precios de Cloud Armor para obtener más información.

    Para habilitar Cloud Armor en la consola de Google Cloud , ve a la página Servicios integrados.

    Ir a Servicios integrados

¿Qué sigue?