Impacto: Detectar líneas de comandos maliciosas

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se ha detectado un proceso que ejecuta argumentos de línea de comandos que indican una actividad potencialmente maliciosa, como intentos de eliminar archivos críticos del sistema o modificar archivos relacionados con contraseñas. Este comportamiento sugiere que se está intentando dañar la funcionalidad del sistema o poner en peligro los mecanismos de autenticación de los usuarios. Los adversarios pueden intentar eliminar archivos esenciales del sistema operativo para provocar inestabilidad en el sistema o manipular archivos de contraseñas para obtener acceso no autorizado a las cuentas. La ejecución de estos comandos es un indicador claro de intenciones maliciosas, que pueden provocar la pérdida de datos, la inoperatividad del sistema o la escalada de privilegios no autorizada. Por lo tanto, se trata de una detección de alta prioridad que requiere un análisis inmediato para determinar los objetivos del atacante y el alcance de los posibles daños.

Cloud Run Threat Detection es la fuente de esta detección.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Consultar los detalles de los resultados

  1. Abre el resultado Impact: Detect Malicious Cmdlines como se indica en Revisar los resultados. Consulta los detalles en las pestañas Resumen y JSON.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones.

    • Qué se detectó, especialmente los siguientes campos:
      • Binario de programa: la ruta absoluta del binario ejecutado.
      • Argumentos: los argumentos transferidos durante la ejecución binaria.
    • Recurso afectado, especialmente los siguientes campos:

  3. En la pestaña JSON, anota los siguientes campos.

    • resource:
      • project_display_name: el nombre del proyecto que contiene el recurso de Cloud Run afectado
    • finding:
      • processes:
        • binary:
        • path: la ruta completa del archivo binario ejecutado
      • args: los argumentos que se proporcionaron cuando se ejecutó el archivo binario

  4. Identifica otros resultados que se hayan producido en un momento similar en el contenedor afectado. Las conclusiones relacionadas pueden indicar que esta actividad era maliciosa, en lugar de que no se hayan seguido las prácticas recomendadas.

  5. Revisa la configuración del contenedor afectado.

  6. Consulta los registros del contenedor afectado.

Investigar métodos de ataque y respuesta

  1. Revisa las entradas del framework ATT&CK de MITRE de este tipo de hallazgo: Destrucción de datos.
  2. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE.

Implementar tu respuesta

Para obtener recomendaciones sobre cómo responder, consulta Responder a las detecciones de amenazas de Cloud Run.

Siguientes pasos