URL malicioso observado

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

A Deteção de ameaças do Cloud Run observou um URL malicioso na lista de argumentos de um processo executável. Os atacantes podem carregar software malicioso ou bibliotecas maliciosas através de URLs maliciosos.

A Deteção de ameaças do Cloud Run é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Reveja os detalhes da descoberta

  1. Abra a descoberta Malicious URL Observed conforme indicado em Rever descobertas. Reveja os detalhes nos separadores Resumo e JSON.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado, especialmente os seguintes campos:
      • URI: o URI malicioso observado
      • Binário adicionado: o caminho completo do binário do processo que recebeu os argumentos que contêm o URL malicioso
      • Argumentos: os argumentos fornecidos quando invoca o ficheiro binário do processo
      • Variáveis de ambiente: as variáveis de ambiente que estavam em vigor quando o ficheiro binário do processo foi invocado
      • Contentores: o nome do contentor
    • Recurso afetado, especialmente os seguintes campos:
      • Nome a apresentar do recurso: o nome do recurso afetado
      • Nome completo do recurso: o nome completo do recurso do recurso do Cloud Run afetado
    • Links relacionados, especialmente o seguinte campo:
      • Indicador do VirusTotal: link para a página de análise do VirusTotal

  3. Procure conclusões relacionadas que ocorreram numa altura semelhante para o contentor afetado. Estas conclusões podem indicar que esta atividade foi maliciosa, em vez de uma falha no seguimento das práticas recomendadas.

  4. Reveja as definições do contentor afetado.

  5. Verifique os registos do contentor afetado.

Investigue métodos de ataque e resposta

  1. Verifique o estado do site da Navegação Segura para ver detalhes sobre o motivo pelo qual o URL é classificado como malicioso.
  2. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Ingress Tool Transfer.
  3. Verifique o valor hash SHA-256 do ficheiro binário denunciado como malicioso no VirusTotal clicando no link no indicador do VirusTotal. O VirusTotal é um serviço pertencente à Alphabet que fornece contexto sobre ficheiros, URLs, domínios e endereços IP potencialmente maliciosos.
  4. Para desenvolver um plano de resposta, combine os resultados da investigação com a investigação da MITRE e a análise do VirusTotal.

Implemente a sua resposta

Para ver recomendações de respostas, consulte o artigo Responda a resultados de ameaças do Cloud Run.

O que se segue?