תוכנה זדונית: קובץ זדוני בכונן

במסמך הזה מתואר סוג של ממצא איום ב-Security Command Center. ממצאי האיומים נוצרים על ידי מזהי איומים כשהם מזהים איום פוטנציאלי במשאבי הענן שלכם. רשימה מלאה של ממצאי האיומים הזמינים מופיעה באינדקס של ממצאי האיומים.

סקירה כללית

התכונה 'זיהוי איומים במכונות וירטואליות' זיהתה קובץ שעלול להיות זדוני על ידי סריקת דיסקים קבועים של מכונה וירטואלית ב-Amazon Elastic Compute Cloud‏ (EC2) כדי למצוא חתימות ידועות של תוכנות זדוניות.

איך מגיבים

כדי להגיב לממצא הזה:

שלב 1: בדיקת פרטי הממצא

  1. פותחים את הממצא Malware: Malicious file on disk כמו שמתואר במאמר בדיקת הממצאים. חלונית הפרטים של הממצא נפתחת בכרטיסייה סיכום.

  2. בכרטיסייה סיכום, בודקים את המידע בקטעים הבאים:

    • מה זוהה, במיוחד השדות הבאים:
      • שם כלל YARA: כלל YARA שהייתה לו התאמה.
      • ‫Files: ה-UUID של המחיצה והנתיב היחסי של הקובץ שזוהה כקובץ שעשוי להיות זדוני.
    • מקור המידע שהושפע, במיוחד השדות הבאים:
      • שם המשאב המלא: שם המשאב המלא של המכונה הווירטואלית המושפעת, כולל מזהה הפרויקט שהיא נמצאת בו.

  3. כדי לראות את ה-JSON המלא של הממצא הזה, בתצוגה המפורטת של הממצא, לוחצים על הכרטיסייה JSON.

  4. ב-JSON, שימו לב לשדות הבאים:

    • indicator
      • signatures:
        • ‫yaraRuleSignature: חתימה שמתאימה לכלל YARA שהייתה לו התאמה.

שלב 2: בדיקת היומנים

כדי לבדוק את היומנים של מכונה וירטואלית ב-Compute Engine, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , עוברים אל Logs Explorer.

    כניסה לדף Logs Explorer

  2. בסרגל הכלים של המסוף, בוחרים את הפרויקט שמכיל את המכונה הווירטואלית, כפי שמצוין בשורה Resource full name בכרטיסייה Summary בפרטי הממצא. Google Cloud

  3. בודקים את היומנים כדי לזהות סימנים לפריצה למכונת ה-VM המושפעת. לדוגמה, כדאי לבדוק אם יש פעילויות חשודות או לא מוכרות וסימנים של פרטי כניסה שנפרצו.

מידע על בדיקת יומנים של מכונה וירטואלית (VM) ב-Amazon EC2 זמין במסמכי התיעוד של Amazon CloudWatch Logs.

שלב 3: בדיקה של ההרשאות וההגדרות

  1. בכרטיסייה סיכום של פרטי הממצא, בשדה שם מלא של המשאב, לוחצים על הקישור.
  2. בודקים את הפרטים של המכונה הווירטואלית, כולל הגדרות הרשת והגישה.

שלב 4: מחקר על שיטות תקיפה ותגובה

כדי לבדוק את ערך הגיבוב (hash) ‏SHA-256 של הקובץ הבינארי שסומן כזדוני ב-VirusTotal, לוחצים על הקישור באינדיקטור של VirusTotal. ‫VirusTotal הוא שירות בבעלות Alphabet שמספק הקשר לגבי קבצים, כתובות URL, דומיינים וכתובות IP שעלולים להיות זדוניים.

שלב 5: הטמעת התגובה

תוכנית התגובה הבאה עשויה להתאים לממצא הזה, אבל היא עלולה גם להשפיע על הפעולות. חשוב לבדוק בקפידה את המידע שאספתם במהלך הבדיקה כדי להבין מהי הדרך הטובה ביותר לפתור את הבעיות.

  1. פונים לבעלים של המכונה הווירטואלית.

  2. אם יש צורך, מאתרים ומוחקים את הקובץ שעלול להיות זדוני. כדי לקבל את ה-UUID של המחיצה ואת הנתיב היחסי של הקובץ, אפשר לעיין בשדה Files בכרטיסייה Summary בפרטי הממצא. כדי לסייע בזיהוי ובסילוק, כדאי להשתמש בפתרון לזיהוי נקודות קצה ולתגובה.

  3. במקרה הצורך, מפסיקים את המופע שנפרץ ומחליפים אותו במופע חדש.

  4. לצורך ניתוח משפטי, מומלץ לגבות את המכונות הווירטואליות ואת הדיסקים של אחסון מתמיד.

  5. כדי לבצע חקירה נוספת, אפשר להשתמש בשירותים לתגובה לאירועים כמו Mandiant.

המאמרים הבאים