Malware: Schädliche Datei auf dem Laufwerk

In diesem Dokument wird ein bestimmter Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

VM Threat Detection hat eine potenziell schädliche Datei erkannt, indem die nichtflüchtigen Speicher einer Amazon Elastic Compute Cloud (EC2)-VM nach bekannten Malware-Signaturen gescannt wurden.

Maßnahmen

So reagieren Sie auf dieses Ergebnis:

Schritt 1: Ergebnisdetails prüfen

  1. Öffnen Sie das Ergebnis Malware: Malicious file on disk wie unter Ergebnisse prüfen beschrieben. Der Detailbereich für das Ergebnis wird geöffnet und der Tab Zusammenfassung wird angezeigt.

  2. Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

    • Was wurde erkannt, insbesondere die folgenden Felder:
      • YARA-Regelname: Die YARA-Regel, die übereinstimmt.
      • Dateien: Die Partitions-UUID und der relative Pfad der potenziell schädlichen Datei, die erkannt wurde.
    • Betroffene Ressource, insbesondere die folgenden Felder:
      • Vollständiger Name der Ressource: Der vollständige Ressourcenname der betroffenen VM-Instanz, einschließlich der ID des Projekts, das sie enthält.

  3. Wenn Sie die vollständige JSON-Datei für dieses Ergebnis sehen möchten, klicken Sie in der Detailansicht des Ergebnisses auf den Tab JSON.

  4. Achten Sie in der JSON-Datei auf die folgenden Felder:

    • indicator
      • signatures:
        • yaraRuleSignature: Eine Signatur, die der übereinstimmenden YARA-Regel entspricht.

Schritt 2: Protokolle prüfen

So prüfen Sie Ihre Protokolle für eine Compute Engine-VM-Instanz:

  1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

    Zum Log-Explorer

  2. Wählen Sie in der Google Cloud Symbolleiste der Console das Projekt aus, das die VM-Instanz enthält, wie in der Zeile Vollständiger Name der Ressource auf dem Tab Zusammenfassung der Ergebnisdetails angegeben.

  3. Prüfen Sie, ob in den Logs Zeichen für Angriffe auf die betroffene VM-Instanz enthalten sind. Beispielsweise können Sie nach verdächtigen oder unbekannten Aktivitäten und Zeichen von kompromittierten Anmeldedaten suchen.

Informationen zum Prüfen von Protokollen für eine Amazon EC2-VM-Instanz finden Sie in der Amazon CloudWatch Logs Dokumentation.

Schritt 3: Berechtigungen und Einstellungen prüfen

  1. Klicken Sie auf dem Tab Zusammenfassung der Ergebnisdetails im Feld Vollständiger Name der Ressource auf den Link.
  2. Prüfen Sie die Details der VM-Instanz, einschließlich der Netzwerk- und Zugriff einstellungen.

Schritt 4: Angriffs- und Reaktionsmethoden untersuchen

Prüfen Sie den SHA-256-Hashwert für die als schädlich gekennzeichnete Binärdatei auf VirusTotal, indem Sie auf den Link unter VirusTotal-Indikator klicken. VirusTotal, ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt.

Schritt 5: Antwort implementieren

Der folgende Reaktionplan ist möglicherweise für dieses Ergebnis geeignet, kann sich jedoch auch auf Abläufe auswirken. Prüfen Sie die Informationen, die Sie im Rahmen Ihrer Untersuchung erfasst haben, sorgfältig, um die beste Lösung für die Behebung der Ergebnisse zu finden.

  1. Wenden Sie sich an den Inhaber der VM.

  2. Suchen und löschen Sie bei Bedarf die potenziell schädliche Datei. Die Partitions-UUID und den relativen Pfad der Datei finden Sie im Feld Dateien auf dem Tab Zusammenfassung der Ergebnisdetails. Verwenden Sie eine Lösung zur Endpunkterkennung und -antwort, um Unterstützung bei der Erkennung und Entfernung zu erhalten.

  3. Beenden Sie bei Bedarf die manipulierte Instanz und ersetzen Sie sie durch eine neue Instanz.

  4. Für die forensische Analyse sollten Sie die virtuellen Maschinen und nichtflüchtigen Speicher sichern.

  5. Für weitere Untersuchungen können Sie Incident-Response-Dienste wie Mandiant verwenden.

Nächste Schritte