Persistência: modificar ld.so.preload

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

Uma tentativa de modificar o arquivo ld.so.preload foi feita. As mudanças em ld.so.preload podem ser usadas por invasores para pré-carregar bibliotecas compartilhadas maliciosas no conjunto de bibliotecas de um sistema. Um invasor pode usar isso para sequestrar o fluxo de execução carregando as próprias bibliotecas durante a execução do programa, o que pode levar a um escalonamento de privilégios ou evasão de mecanismos de defesa. Esse é um detector de monitoramento de arquivos e tem requisitos específicos de versão do GKE. Esse detector fica desativado por padrão. Para instruções sobre como ativar, consulte Como testar o Container Threat Detection.

A origem dessa descoberta é o Container Threat Detection.

Como responder

Para responder a essa descoberta, faça o seguinte:

Analisar os detalhes da descoberta

  1. Abra a descoberta Persistence: Modify ld.so.preload, conforme instruído em Como verificar descobertas. Revise os detalhes nas guias Resumo e JSON.

  2. Identifique outros resultados que ocorreram em um momento semelhante para esse recurso. As descobertas relacionadas podem indicar que essa atividade foi maliciosa, em vez de uma falha em seguir as práticas recomendadas.

  3. Revise as configurações do recurso afetado.

  4. Verifique os registros do recurso afetado.

Pesquisar métodos de ataque e resposta

Analise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Persistência.

A seguir