Shell inverso

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se ha iniciado un proceso con redirección de flujo a un socket conectado remoto. Generar una shell conectada a la red puede permitir que un atacante realice acciones arbitrarias después de una vulneración inicial limitada.

Cloud Run Threat Detection es la fuente de esta detección.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Consultar los detalles de los resultados

  1. Abre el Reverse Shell tal como se indica en el artículo Revisar los resultados. Consulta los detalles en las pestañas Resumen y JSON.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Binario del programa: la ruta absoluta del proceso iniciado con redirección de flujo a un socket remoto
      • Argumentos: los argumentos proporcionados cuando se invocó el archivo binario del proceso.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre completo del recurso: el nombre completo del recurso de Cloud Run afectado
      • Nombre completo del proyecto: el proyecto afectado Google Cloud
    • Enlaces relacionados, especialmente los siguientes campos:
      • Indicador de VirusTotal: enlace a la página de análisis de VirusTotal.

  3. En la pestaña JSON, anota los siguientes campos:

    • resource:
      • project_display_name: el nombre del proyecto que contiene el recurso.
    • sourceProperties:
      • Reverse_Shell_Stdin_Redirection_Dst_Ip: la dirección IP remota de la conexión
      • Reverse_Shell_Stdin_Redirection_Dst_Port: el puerto remoto
      • Reverse_Shell_Stdin_Redirection_Src_Ip: la dirección IP local de la conexión
      • Reverse_Shell_Stdin_Redirection_Src_Port: el puerto local
      • Container_Image_Uri: el nombre de la imagen del contenedor que se está ejecutando.

  4. Busca hallazgos relacionados que se hayan producido a una hora similar en el contenedor afectado. Estos resultados pueden indicar que la actividad era maliciosa, en lugar de que no se hayan seguido las prácticas recomendadas.

  5. Revisa la configuración del contenedor afectado.

  6. Consulta los registros del contenedor afectado.

Investigar métodos de ataque y respuesta

  1. Consulta las entradas del framework ATT&CK de MITRE para este tipo de hallazgo: Intérprete de comandos y de secuencias de comandos y Transferencia de herramienta de entrada.
  2. Comprueba el valor del hash SHA-256 del archivo binario marcado como malicioso en VirusTotal haciendo clic en el enlace del indicador de VirusTotal. VirusTotal es un servicio propiedad de Alphabet que proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE y el análisis de VirusTotal.

Implementar tu respuesta

Para obtener recomendaciones sobre cómo responder, consulta Responder a las detecciones de amenazas de Cloud Run.

Siguientes pasos