Evasione della difesa: script shell con codifica Base64 eseguito

Questo documento descrive un tipo di risultato di minaccia in Security Command Center. I risultati di minaccia vengono generati dai rilevatori di minacce quando rilevano una potenziale minaccia nelle risorse cloud. Per un elenco completo dei risultati di minaccia disponibili, consulta l'indice dei risultati di minaccia.

Panoramica

È stato eseguito un processo che contiene un argomento che è uno script shell con codifica base64. Se viene rilevata l'esecuzione di uno script shell codificato, è un segnale che un utente malintenzionato sta tentando di codificare i dati binari per il trasferimento a righe di comando solo ASCII. Gli utenti malintenzionati possono utilizzare questa tecnica per eludere il rilevamento ed eseguire codice dannoso incorporato in uno script shell.

Cloud Run Threat Detection è l'origine di questo risultato.

Come rispondere

Per rispondere a questo risultato:

Esamina i dettagli del risultato

  1. Apri il risultato Defense Evasion: Base64 Encoded Shell Script Executed come indicato in Esaminare i risultati. Esamina i dettagli nelle schede Riepilogo e JSON.

  2. Nella scheda Riepilogo, esamina le informazioni nelle seguenti sezioni.

    • Che cosa è stato rilevato, in particolare i seguenti campi:
      • Programma binario: il percorso assoluto del file binario eseguito
      • Argomenti: gli argomenti passati durante l'esecuzione del file binario
    • Risorsa interessata, in particolare i seguenti campi:

  3. Nella scheda JSON, prendi nota dei seguenti campi.

    • resource:
      • project_display_name: il nome del progetto che contiene la risorsa Cloud Run interessata
    • finding:
      • processes:
        • binary:
        • path: il percorso completo del file binario eseguito
      • args: gli argomenti forniti durante l'esecuzione del file binario

  4. Identifica altri risultati che si sono verificati in un momento simile per il container interessato. I risultati correlati potrebbero indicare che questa attività era dannosa, anziché un mancato rispetto delle best practice.

  5. Esamina le impostazioni del container interessato.

  6. Controlla i log del container interessato.

Ricerca metodi di attacco e risposta

  1. Esamina le voci del framework MITRE ATT&CK per questo tipo di risultato: Elusione della difesa: file o informazioni offuscati.
  2. Per sviluppare un piano di risposta, combina i risultati dell'indagine con la ricerca MITRE.

Implementa la risposta

Per i consigli sulla risposta, consulta Rispondere ai risultati di minaccia di Cloud Run findings.

Passaggi successivi