Shell secundario inesperado

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Container Threat Detection ha detectado un proceso que ha generado inesperadamente un proceso de shell secundario. Este evento puede indicar que un atacante está intentando abusar de comandos y secuencias de comandos de shell.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un Unexpected Child Shell tal como se indica en el artículo Revisar los resultados. Se abrirá el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Proceso superior: el proceso que ha creado inesperadamente el proceso de shell secundario.
      • Proceso secundario: el proceso de shell secundario.
      • Argumentos: los argumentos proporcionados al proceso binario del shell secundario.
      • Variables de entorno: las variables de entorno del proceso binario del shell secundario.
      • Contenedores: el nombre del contenedor.
      • URI de contenedores: el URI de la imagen del contenedor.
      • Pods de Kubernetes: el nombre y el espacio de nombres del pod.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre visible del recurso: el nombre del recurso afectado.
      • Nombre completo del recurso: el nombre completo del recurso del clúster. El nombre completo del recurso incluye la siguiente información:
        • El proyecto que contiene el clúster: projects/PROJECT_ID
        • Ubicación en la que se encuentra el clúster: zone/ZONE o locations/LOCATION.
        • Nombre del clúster: projects/CLUSTER_NAME
    • Enlaces relacionados, especialmente los siguientes campos:
      • Indicador de VirusTotal: enlace a la página de análisis de VirusTotal.

  3. Haz clic en la pestaña JSON y anota los siguientes campos:

+processes: un array que contiene todos los procesos relacionados con el hallazgo. Esta matriz incluye el proceso de shell secundario y el proceso principal. +resource: +project_display_name: el nombre del proyecto que contiene los recursos. +sourceProperties: +VM_Instance_Name: el nombre del nodo de GKE en el que se ejecutó el Pod.

Paso 2: Revisa el clúster y el nodo

  1. En la Google Cloud consola, ve a la página Clústeres de Kubernetes.

    Ir a clústeres de Kubernetes

  2. En la barra de herramientas de la consola Google Cloud , selecciona el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Selecciona el clúster que aparece en resource.name. Anota los metadatos del clúster y de su propietario.

  4. Haz clic en la pestaña Nodos. Selecciona el nodo que aparece en VM_Instance_Name.

  5. Haga clic en la pestaña Detalles y anote la anotación container.googleapis.com/instance_id.

Paso 3: Revisar el Pod

  1. En la Google Cloud consola, ve a la página Cargas de trabajo de Kubernetes.

    Ir a Cargas de trabajo de Kubernetes

  2. En la barra de herramientas de la consola Google Cloud , seleccione el proyecto que ha anotado en el nombre completo del recurso (resource.name) del clúster en el resumen de la detección, si es necesario.

  3. Haz clic en Mostrar cargas de trabajo del sistema.

  4. Filtra la lista de cargas de trabajo por el nombre del clúster que has anotado en Nombre completo del recurso (resource.name) del resumen de la detección y, si es necesario, el espacio de nombres (kubernetes.pods.ns) del pod que has anotado.

  5. Haz clic en el nombre de la carga de trabajo que coincida con el valor de la propiedad VM_Instance_Name que has anotado en el JSON del hallazgo. Se abrirá la página Detalles del pod.

  6. En la página Detalles del Pod, anota cualquier información sobre el Pod que pueda ayudarte a resolver la amenaza.

Paso 4: Consulta los registros

  1. En la Google Cloud consola, ve a Explorador de registros.

    Ir a Explorador de registros

  2. En la barra de herramientas de la consola, selecciona el proyecto que aparece en Google Cloud resource.project_display_name.

  3. En Seleccionar periodo, elige el periodo que te interese.

  4. En la página que se carga, haga lo siguiente:

    1. Para encontrar los registros de pods de Pod_Name, usa el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Para encontrar los registros de auditoría de un clúster, usa el siguiente filtro:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Para encontrar los registros de la consola de nodos de GKE, usa el siguiente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor sigue en ejecución, es posible que puedas investigar el entorno del contenedor directamente.

  1. Ve a la Google Cloud consola.

    Abrir Google Cloud consola

  2. En la barra de herramientas de la consola, selecciona el proyecto que aparece en Google Cloud resource.project_display_name.

  3. Haz clic en Activar Cloud Shell.

  4. Obtén las credenciales de GKE de tu clúster ejecutando los siguientes comandos.

    En el caso de los clústeres zonales, ejecuta lo siguiente:

      gcloud container clusters get-credentials cluster_name --zone location --project resource.project_display_name

    En el caso de los clústeres regionales, ejecuta lo siguiente:

      gcloud container clusters get-credentials cluster_name --region location --project resource.project_display_name

  5. Para iniciar un shell en el entorno del contenedor, ejecuta lo siguiente:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga un shell instalado en /bin/sh.

    Para ver todos los procesos que se están ejecutando en el contenedor, ejecuta el siguiente comando en el shell del contenedor:

      ps axjf

    Este comando requiere que el contenedor tenga /bin/ps instalado.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework ATT&CK de MITRE para este tipo de hallazgo: Intérprete de comandos y scripting: shell de Unix.
  2. Comprueba el valor del hash SHA-256 del archivo binario marcado como malicioso en VirusTotal haciendo clic en el enlace del indicador de VirusTotal. VirusTotal es un servicio propiedad de Alphabet que proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE y el análisis de VirusTotal.

Paso 7: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Ponte en contacto con el propietario del proyecto que contiene el contenedor vulnerado.
  • Detén o elimina el contenedor comprometido y sustitúyelo por un contenedor nuevo.

Siguientes pasos