Shells inversas

En este documento, se describe un tipo de resultado de amenazas en Security Command Center. Los detectores de amenazas generan resultados de amenazas cuando detectan una amenaza potencial en tus recursos de Cloud. Para obtener una lista completa de los resultados de amenazas disponibles, consulta el Índice de resultados de amenazas.

Descripción general

Es un proceso iniciado con redireccionamiento de transmisión a un socket remoto conectado. La generación de un shell conectado a la red puede permitir que un atacante realice acciones arbitrarias después de un compromiso inicial limitado.

Cómo responder

Para responder a este hallazgo, haz lo siguiente:

Paso 1: Revisa los detalles del hallazgo

  1. Abre un hallazgo de Reverse Shell como se indica en Revisa los resultados. Se abre el panel de detalles del hallazgo en la pestaña Resumen.

  2. En la pestaña Resumen, revisa la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Objeto binario del programa: Es la ruta de acceso absoluta del proceso que se inició con el redireccionamiento de transmisión a un socket remoto.
      • Arguments: Son los argumentos proporcionados cuando se invoca el objeto binario del proceso.
    • Recurso afectado, en especial los siguientes campos:
      • Nombre completo del recurso: Es el nombre completo del recurso del clúster.
      • Nombre completo del proyecto: Es el proyecto Google Cloud afectado.
    • Vínculos relacionados, en especial los siguientes campos:
      • Indicador de VirusTotal: Vínculo a la página de análisis de VirusTotal

  3. En la vista de detalles del hallazgo, haz clic en la pestaña JSON.

  4. En el JSON, ten en cuenta los siguientes campos.

    • resource:
      • project_display_name: Es el nombre del proyecto que contiene el recurso.
    • sourceProperties:
      • Pod_Namespace: El nombre del espacio de nombres de Kubernetes del Pod.
      • Pod_Name: Es el nombre del Pod de GKE.
      • Container_Name: Es el nombre del contenedor afectado.
      • VM_Instance_Name: el nombre del nodo de GKE en el que se ejecutó el Pod
      • Reverse_Shell_Stdin_Redirection_Dst_Ip: la dirección IP remota de la conexión
      • Reverse_Shell_Stdin_Redirection_Dst_Port: el puerto remoto
      • Reverse_Shell_Stdin_Redirection_Src_Ip: la dirección IP local de la conexión
      • Reverse_Shell_Stdin_Redirection_Src_Port: el puerto local
      • Container_Image_Uri: Es el nombre de la imagen de contenedor que se ejecuta.

Paso 2: Revisa el clúster y el nodo

  1. En la consola de Google Cloud , ve a la página de clústeres de Kubernetes.

    Ir a los clústeres de Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , selecciona el proyecto que aparece enresource.project_display_name, si es necesario.

  3. Selecciona el clúster enumerado en resource.name. Toma nota de los metadatos sobre el clúster y su propietario.

  4. Haz clic en la pestaña Nodos. Selecciona el nodo que aparece en VM_Instance_Name.

  5. Haz clic en la pestaña Detalles y anota la anotación container.googleapis.com/instance_id.

Paso 3: Revisa el pod

  1. En la consola de Google Cloud , ve a la página Cargas de trabajo de Kubernetes.

    Ir a Cargas de trabajo en Kubernetes

  2. En la barra de herramientas de la consola de Google Cloud , selecciona el proyecto que aparece enresource.project_display_name, si es necesario.

  3. Filtra el clúster enumerado en resource.name y el espacio de nombres de pods enumerado en Pod_Namespace, si es necesario.

  4. Selecciona el pod que aparece en Pod_Name. Toma nota de los metadatos del Pod y su propietario.

Paso 4: Comprueba los registros

  1. En la consola de Google Cloud , ve al Explorador de registros.

    Ir al Explorador de registros

  2. En la barra de herramientas de la consola de Google Cloud , selecciona el proyecto que aparece enresource.project_display_name, si es necesario.

  3. Selecciona Seleccionar período en el período de interés.

  4. En la página que se carga, haz lo siguiente:

    1. Busca los registros de Pod para Pod_Name mediante el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Encuentra los registros de auditoría del clúster mediante el siguiente filtro:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Busca los registros de la consola de los nodos de GKE mediante el siguiente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor aún está en ejecución, es posible investigar el entorno del contenedor directamente.

  1. Ve a la consola de Google Cloud .

    Abrir Google Cloud Console

  2. En la barra de herramientas de la consola de Google Cloud , selecciona el proyecto que aparece enresource.project_display_name, si es necesario.

  3. Haz clic en Activate Cloud Shell (Activar Cloud Shell) .

  4. Obtén las credenciales de GKE para tu clúster mediante la ejecución de los siguientes comandos.

    Para los clústeres zonales, haz lo siguiente:

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    Para los clústeres regionales, haz lo siguiente:

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. Inicia un shell dentro del entorno del contenedor mediante la ejecución de lo siguiente:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga una shell instalada en /bin/sh.

    Para ver todos los procesos que se ejecutan en el contenedor, ejecuta el siguiente comando en el shell del contenedor:

      ps axjf

    Este comando requiere que el contenedor tenga /bin/ps instalado.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework de MITRE ATT&CK para este tipo de resultado: Intérprete de comandos y secuencias de comandos, Transferencia de herramientas de Ingress.
  2. Para verificar el valor de hash SHA-256 del archivo binario marcado como malicioso en VirusTotal, haz clic en el vínculo del indicador de VirusTotal. VirusTotal es un servicio que es propiedad de Alphabet y proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para desarrollar un plan de respuesta, combina los resultados de la investigación con la investigación del MITRE y el análisis de VirusTotal.

Paso 7: Implementa tu respuesta

El siguiente plan de respuesta podría ser adecuado para este hallazgo, pero también podría afectar las operaciones. Evalúa con cuidado la información que recopilas en tu investigación para determinar la mejor manera de resolver los resultados.

  • Comunícate con el propietario del proyecto en el que se encuentra el contenedor vulnerado.
  • Detén o borra el contenedor comprometido y reemplázalo por un contenedor nuevo.

¿Qué sigue?