Comando y control: Ejecución de código codificado canalizado

En este documento, se describe un tipo de hallazgo de amenazas en Security Command Center. Los detectores de amenazas generan hallazgos de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los hallazgos de amenazas disponibles, consulta el Índice de hallazgos de amenazas.

Descripción general

Command and Control: Piped Encoded Code Execution detecta cuando la salida de un comando base64 --decode se canaliza directamente a un intérprete de shell como python, perl, php, ruby o ssh.

Cuando se detecta una amenaza fuera de una carga de trabajo esperada, como una canalización de CI/CD, esto es un fuerte indicio de actividad maliciosa. Los atacantes suelen usar este método para ejecutar secuencias de comandos o comandos ofuscados. La codificación en Base64 oculta el código real que se ejecuta, y canalizarlo directamente a un intérprete permite la ejecución inmediata sin escribir la secuencia de comandos decodificada en el disco, lo que la hace más sigilosa.

Te recomendamos que siempre tomes medidas inmediatas en relación con este hallazgo cuando se produzca en una carga de trabajo inesperada. Las cargas de trabajo benignas usan la codificación Base64 principalmente para transferir de forma segura datos binarios o datos que contienen caracteres especiales a través de sistemas y protocolos basados en texto que, de otro modo, podrían dañar los datos. Sin embargo, cualquier ejecución de código puede afectar directamente y comprometer aún más tu sistema, por lo que debes asegurarte de tratar siempre este hallazgo como malicioso hasta que se demuestre lo contrario.

Container Threat Detection es la fuente de este hallazgo.

Cómo responder

Para responder a este hallazgo, sigue los siguientes pasos:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Command and Control: Piped Encoded Code Execution como se indica en Revisa los hallazgos. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las siguientes secciones:

    • Qué se detectó, en especial, los campos que se indican a continuación:
      • Objeto binario del programa: Es la ruta de acceso absoluta del objeto binario ejecutado.
      • Argumentos: Son los argumentos que se pasan durante la ejecución del objeto binario.
    • Recurso afectado, en especial, los campos que se indican a continuación:
      • Nombre completo del recurso: Es el nombre completo del recurso del clúster, incluido el número de proyecto, la ubicación y el nombre del clúster.

  3. En la vista de detalles del hallazgo, haz clic en la pestaña JSON.

  4. En el archivo JSON, observa los campos que se indican a continuación.

    • resource:
      • project_display_name: Es el nombre del proyecto que contiene el clúster.
    • finding:
      • processes:
      • binary:
        • path: Es la ruta de acceso completa del objeto binario ejecutado.
      • args: Son los argumentos que se proporcionaron durante la ejecución del objeto binario.
    • sourceProperties:
      • Pod_Namespace: Es el nombre del espacio de nombres de Kubernetes del Pod.
      • Pod_Name: Es el nombre del Pod de GKE.
      • Container_Name: Es el nombre del contenedor afectado.
      • Container_Image_Uri: Es el nombre de la imagen de contenedor que se implementa.
      • VM_Instance_Name: Es el nombre del nodo de GKE en el que se ejecutó el Pod.

  5. Identifica otros hallazgos que se produjeron en un momento similar para este contenedor. Los hallazgos relacionados pueden indicar que esta fue una actividad maliciosa, en lugar de una incapacidad de seguir las prácticas recomendadas.

Paso 2: Revisa el clúster y el nodo

  1. En la consola de Google Cloud , accede a la página Clústeres de Kubernetes.

    Acceder a Clústeres de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Elige el clúster que aparece en la fila Nombre completo del recurso en la pestaña Resumen de los detalles del hallazgo. Toma nota de los metadatos sobre el clúster y su propietario.

  4. Haz clic en la pestaña Nodos. Elige el nodo que aparece en VM_Instance_Name.

  5. Haz clic en la pestaña Detalles y toma registro de la anotación container.googleapis.com/instance_id.

Paso 3: Revisa el Pod

  1. En la consola de Google Cloud , accede a la página Cargas de trabajo de Kubernetes.

    Acceder a Cargas de trabajo de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Filtra según el clúster especificado en la fila Nombre completo del recurso de la pestaña Resumen en los detalles del hallazgo y, si es necesario, por el espacio de nombres de Pod que aparece en Pod_Namespace.

  4. Elige el Pod que aparece en Pod_Name. Toma nota de los metadatos del Pod y de su propietario.

Paso 4: Comprueba los registros

  1. En la consola de Google Cloud , accede al Explorador de registros.

    Acceder al Explorador de registros

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Establece la opción Seleccionar un intervalo de tiempo en función del período de interés.

  4. En la página que se carga, haz lo que se indica a continuación:

    1. Busca los registros del Pod por Pod_Name con el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="RESOURCE.PROJECT_DISPLAY_NAME"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • resource.labels.namespace_name="POD_NAMESPACE"
      • resource.labels.pod_name="POD_NAME"
    2. Busca los registros de auditoría del clúster con el siguiente filtro:
      • logName="projects/RESOURCE.PROJECT_DISPLAY_NAME/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="RESOURCE.PROJECT_DISPLAY_NAME"
      • resource.labels.location="LOCATION"
      • resource.labels.cluster_name="CLUSTER_NAME"
      • POD_NAME
    3. Busca los registros de la consola de los nodos de GKE con el siguiente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="INSTANCE_ID"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor aún está en ejecución, se puede investigar directamente su entorno.

  1. Accede a la consola de Google Cloud .

    Abrir la consola de Google Cloud

  2. En la barra de herramientas de la consola de Google Cloud , elige el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Haz clic en Activar Cloud Shell

  4. Para obtener las credenciales de GKE del clúster, ejecuta los siguientes comandos.

    Para los clústeres zonales, sigue estos pasos:

    gcloud container clusters get-credentials CLUSTER_NAME \
      --zone LOCATION \
      --project PROJECT_NAME

    Para los clústeres regionales, sigue estos pasos:

    gcloud container clusters get-credentials CLUSTER_NAME \
      --region LOCATION \
      --project PROJECT_NAME

Reemplaza los parámetros que se indican a continuación:

  • CLUSTER_NAME: Es el clúster que aparece en resource.labels.cluster_name.
  • LOCATION: Es la ubicación que aparece en resource.labels.location.
  • PROJECT_NAME: Es el nombre del proyecto que aparece en resource.project_display_name.

  1. Recupera el objeto binario ejecutado:

    kubectl cp \
      POD_NAMESPACE/POD_NAME:PROCESS_BINARY_FULLPATH \
      -c CONTAINER_NAME \
      LOCAL_FILE

    Reemplaza LOCAL_FILE por una ruta de acceso local para almacenar el objeto binario descargado.

  2. Conéctate al entorno del contenedor ejecutando el comando siguiente:

    kubectl exec \
      --namespace=POD_NAMESPACE \
      -ti POD_NAME \
      -c CONTAINER_NAME \
      -- /bin/sh

    Este comando requiere que el contenedor tenga una shell instalada en /bin/sh.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework de MITRE ATT&CK para este tipo de hallazgo: Comando y control.
  2. Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE.

Paso 7: Implementa la respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los hallazgos.

  • Comunícate con el propietario del proyecto que contiene el contenedor vulnerado.
  • Detén o borra el contenedor vulnerado y reemplázalo por un contenedor nuevo.

¿Qué sigue?