Execução: adição de biblioteca maliciosa carregada

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

Uma biblioteca maliciosa que não fazia parte da imagem do contêiner original foi carregada. Os invasores podem carregar bibliotecas maliciosas em programas existentes para ignorar as proteções de execução de código e ocultar o código malicioso.

Serviço de detecção

Detecção de ameaças do Cloud Run

Como responder

Para responder a essa descoberta, faça o seguinte:

Analisar os detalhes da descoberta

  1. Abra a descoberta Execution: Added Malicious Library Loaded, conforme instruído em Como verificar descobertas. Analise os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • Binário do programa: o caminho completo do binário do processo que carregou a biblioteca.
      • Bibliotecas: detalhes sobre a biblioteca adicionada
      • Argumentos: os argumentos fornecidos ao invocar o binário do processo.
      • Contêineres: o nome do contêiner afetado.
      • URI dos contêineres: o nome da imagem do contêiner que está sendo implantada
    • Recurso afetado, especialmente os seguintes campos:
    • Links relacionados, principalmente os seguintes campos:
      • Indicador do VirusTotal: link para a página de análise do VirusTotal

  3. Identifique outras descobertas que ocorreram em um momento semelhante para o contêiner afetado. As descobertas relacionadas podem indicar que essa atividade foi maliciosa, em vez de uma falha em seguir as práticas recomendadas.

  4. Revise as configurações do contêiner afetado.

  5. Verifique os registros do contêiner afetado.

Pesquisar métodos de ataque e resposta

  1. Verifique as entradas do framework do MITRE ATT&CK em busca deste tipo de descoberta: Transferência de ferramentas de entrada e Módulos compartilhados.
  2. Verifique o valor de hash SHA-256 do binário sinalizado como malicioso no VirusTotal clicando no link em Indicador do VirusTotal. O VirusTotal é um serviço da Alphabet que fornece contexto sobre arquivos, URLs, domínios e endereços IP potencialmente maliciosos.
  3. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE e a análise do VirusTotal.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças do Cloud Run.

A seguir