Execução: habilidade mal-intencionada modificada carregada

Este documento descreve um tipo de descoberta de ameaças no Security Command Center. Essas descobertas são geradas por detectores de ameaças quando detectam um risco nos recursos da nuvem. Para ver uma lista completa, consulte Índice de descobertas de ameaças.

Visão geral

Uma habilidade foi carregada que atende às seguintes condições:

  • Incluído na imagem do contêiner original.
  • Modificado durante o ambiente de execução do contêiner.
  • Identificado como mal-intencionado com base na inteligência contra ameaças.

Os invasores podem carregar habilidades mal-intencionadas em programas atuais para ignorar as proteções de execução de código e ocultar o código mal-intencionado.

A Detecção de Ameaças em Contêiner é a origem dessa descoberta.

Como responder

Para responder a essa descoberta:

Etapa 1: verificar os detalhes da descoberta

  1. Abra uma descoberta Execution: Modified Malicious Skill Loaded, conforme explicado em Analisar uma descoberta. O painel de detalhes da descoberta é aberto na guia Resumo.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho completo do binário do processo que carregou a habilidade
      • Habilidades: detalhes sobre a habilidade modificada
      • Argumentos: os argumentos fornecidos ao invocar o binário do processo
      • Contêineres: o nome do contêiner afetado
      • URI dos contêineres: o nome da imagem do contêiner que está sendo implantada
    • Recurso afetado, especialmente os seguintes campos:
    • Links relacionados, principalmente os seguintes campos:
      • Indicador do VirusTotal: link para a página de análise do VirusTotal

  3. Clique na guia JSON e observe os seguintes campos:

    • sourceProperties:
      • VM_Instance_Name: o nome do nó do GKE em que o pod foi executado

Etapa 2: verificar o cluster e o nó

  1. No console do Google Cloud , acesse a página de clusters do Kubernetes.

    Acesse Clusters do Kubernetes

  2. Na barra de ferramentas do Google Cloud console do, selecione o projeto listado em resource.project_display_name, se necessário.

  3. Selecione o cluster listado em resource.name. Anote os metadados sobre o cluster e o proprietário dele.

  4. Clique na guia Nós. Selecione o nó listado em VM_Instance_Name.

  5. Clique na guia Detalhes e anote a anotação container.googleapis.com/instance_id.

Etapa 3: verificar o pod

  1. No console do Google Cloud , acesse a página Cargas de trabalho do Kubernetes.

    Acesse Cargas de trabalho do Kubernetes

  2. Na barra de ferramentas do Google Cloud console, selecione o projeto listado em resource.project_display_name, se necessário.

  3. Filtre no cluster listado na linha Nome completo do recurso na guia Resumo dos detalhes da descoberta e no namespace do pod listado em Pod_Namespace, se necessário.

  4. Selecione o pod listado em Pod_Name. Anote os metadados sobre o pod e o proprietário dele.

Etapa 4: verificar os registros

  1. No console do Google Cloud , acesse a Análise de registros.

    Acessar a Análise de registros

  2. Na barra de ferramentas do Google Cloud console, selecione o projeto listado em resource.project_display_name, se necessário.

  3. Defina Selecionar período como o período de interesse.

  4. Na página carregada, faça o seguinte:

    1. Encontre registros de pods para Pod_Name usando este filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Encontre os registros de auditoria do cluster usando este filtro:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Encontre os registros do console do nó do GKE usando este filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Etapa 5: investigar o contêiner em execução

Se o contêiner ainda estiver em execução, talvez seja possível investigar o ambiente do contêiner diretamente.

  1. Acesse o console do Google Cloud .

    Abrir Google Cloud o console

  2. Na barra de ferramentas do Google Cloud console do, selecione o projeto listado em resource.project_display_name, se necessário.

  3. Clique em Ativar o Cloud Shell.

  4. Veja as credenciais do GKE do cluster executando os comandos a seguir.

    Para clusters zonais:

      gcloud container clusters get-credentials cluster_name \
      --region location \
      --project resource.project_display_name

    Para clusters regionais:

      gcloud container clusters get-credentials cluster_name \
      --region=location \
      --project=resource.project_display_name

  5. Recupere a habilidade mal-intencionada modificada:

      kubectl cp Pod_Namespace/Pod_Name:Added_Skill_Fullpath -c Container_Name  local_file

    Substitua local_file por um caminho local para armazenar a habilidade mal-intencionada modificada skill.

  6. Conecte-se ao ambiente do contêiner:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Esse comando exige que o contêiner tenha um shell instalado em /bin/sh.

Etapa 6: pesquisar métodos de ataque e resposta

  1. Verifique as entradas do framework do MITRE ATT&CK em busca deste tipo de descoberta: Transferência de ferramentas de entrada, Módulos compartilhados.
  2. Verifique o valor de hash SHA-256 do binário sinalizado como mal-intencionado no VirusTotal clicando no link no indicador do VirusTotal. O VirusTotal é um serviço pertencente à Alphabet que fornece contexto sobre arquivos, URLs, domínios e endereços IP potencialmente mal-intencionados.
  3. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE e a análise do VirusTotal.

Etapa 7: implementar a resposta

O plano de resposta a seguir pode ser apropriado para essa descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações coletadas na investigação para determinar a melhor maneira de resolver as descobertas.

  • Entre em contato a pessoa a quem o projeto com o contêiner comprometido pertence.
  • Interrompa ou exclua o contêiner comprometido e substitua-o por um novo contêiner.

A seguir