Comando e controlo: ferramenta de esteganografia detetada

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das deteções de ameaças disponíveis, consulte o Índice de deteções de ameaças.

Vista geral

Foi detetado um processo que utiliza ferramentas de esteganografia encontradas frequentemente em distribuições semelhantes ao Unix para ocultar potencialmente a comunicação. Este comportamento sugere uma tentativa de ocultar o tráfego de comando e controlo (C2) ou dados confidenciais em mensagens digitais aparentemente inofensivas trocadas com uma entidade externa. Os adversários usam frequentemente a esteganografia para evitar a monitorização da rede e tornar a atividade maliciosa menos percetível. A presença destas ferramentas sugere uma tentativa deliberada de ocultar a transferência de dados ilícita. Este comportamento pode levar a uma comprometimento ou exfiltração adicionais de informações confidenciais. A identificação do conteúdo oculto é essencial para avaliar com precisão os riscos envolvidos.

O Cloud Run Threat Detection é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Reveja os detalhes da descoberta

  1. Abra uma Command and Control: Steganography Tool Detecteddescoberta conforme indicado em Rever descobertas. Reveja os detalhes nos separadores Resumo e JSON.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado, especialmente os seguintes campos:
      • Binário do programa: o caminho absoluto do binário executado
      • Argumentos: os argumentos transmitidos durante a execução binária
    • Recurso afetado, especialmente os seguintes campos:

  3. No JSON, tenha em atenção os seguintes campos.

    • resource:
      • project_display_name: o nome do projeto que contém o recurso do Cloud Run afetado
    • finding:
      • processes:
      • binary:
        • path: o caminho completo do ficheiro binário executado.
      • args: os argumentos que foram fornecidos durante a execução do ficheiro binário. do recurso do Cloud Run afetado

  4. Identifique outras conclusões que ocorreram numa altura semelhante para este contentor. As conclusões relacionadas podem indicar que esta atividade foi maliciosa, em vez de uma falha ao seguir as práticas recomendadas.

  5. Reveja as definições do contentor afetado.

  6. Verifique os registos do contentor afetado.

Investigue métodos de ataque e resposta

  1. Reveja as entradas da framework MITRE ATT&CK para este tipo de descoberta: Data Obfuscation: Steganography.
  2. Verifique o valor hash SHA-256 do ficheiro binário denunciado como malicioso no VirusTotal clicando no link no indicador do VirusTotal. O VirusTotal é um serviço pertencente à Alphabet que fornece contexto sobre ficheiros, URLs, domínios e endereços IP potencialmente maliciosos.
  3. Para desenvolver um plano de resposta, combine os resultados da investigação com a investigação da MITRE e a análise do VirusTotal.

Implemente a sua resposta

Para ver recomendações de respostas, consulte o artigo Responda a resultados de ameaças do Cloud Run.

O que se segue?