Ejecución del binario añadido

En este documento se describe un tipo de hallazgo de amenazas en Security Command Center. Los hallazgos de amenazas los generan los detectores de amenazas cuando detectan una amenaza potencial en tus recursos de la nube. Para ver una lista completa de las detecciones de amenazas disponibles, consulta el índice de detecciones de amenazas.

Información general

Se ha ejecutado un archivo binario que no formaba parte de la imagen de contenedor original. Los atacantes suelen instalar herramientas de explotación y malware después de la vulneración inicial. Es una práctica recomendada importante asegurarse de que los contenedores sean inmutables. Se trata de un problema de baja gravedad, ya que es posible que tu organización no siga esta práctica recomendada. Hay Execution: Added Malicious Binary Executedresultados correspondientes cuando el hash del archivo binario es un indicador de compromiso (IoC) conocido.

Container Threat Detection es la fuente de este resultado.

Cómo responder

Para responder a esta observación, sigue estos pasos:

Paso 1: Revisa los detalles de la detección

  1. Abre un Added Binary Executed tal como se indica en el artículo Revisar los resultados. Se abrirá el panel de detalles del resultado en la pestaña Resumen.

  2. En la pestaña Resumen, consulte la información de las siguientes secciones:

    • Qué se detectó, especialmente los siguientes campos:
      • Binario del programa: la ruta absoluta del binario añadido.
      • Argumentos: los argumentos proporcionados al invocar el archivo binario añadido.
    • Recurso afectado, especialmente los siguientes campos:
      • Nombre completo del recurso: el nombre completo del recurso del clúster, incluido el número de proyecto, la ubicación y el nombre del clúster.
    • Enlaces relacionados, especialmente los siguientes campos:
      • Indicador de VirusTotal: enlace a la página de análisis de VirusTotal.

  3. Haz clic en JSON y anota los siguientes campos:

    • resource:
      • project_display_name: el nombre del proyecto que contiene el clúster.
    • sourceProperties:
      • Pod_Namespace: el nombre del espacio de nombres de Kubernetes del pod.
      • Pod_Name: el nombre del pod de GKE.
      • Container_Name: el nombre del contenedor afectado.
      • Container_Image_Uri: el nombre de la imagen de contenedor que se va a implementar.
      • VM_Instance_Name: el nombre del nodo de GKE en el que se ha ejecutado el pod.

  4. Identifica otros hallazgos que se hayan producido en un momento similar para este contenedor. Los resultados relacionados pueden indicar que esta actividad era maliciosa, en lugar de que no se hayan seguido las prácticas recomendadas.

Paso 2: Revisa el clúster y el nodo

  1. En la Google Cloud consola, ve a la página Clústeres de Kubernetes.

    Ir a clústeres de Kubernetes

  2. En la barra de herramientas de la consola Google Cloud , selecciona el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Seleccione el clúster que aparece en la fila Nombre completo del recurso de la pestaña Resumen de los detalles de la detección. Anota los metadatos del clúster y de su propietario.

  4. Haz clic en la pestaña Nodos. Selecciona el nodo que aparece en VM_Instance_Name.

  5. Haga clic en la pestaña Detalles y anote la anotación container.googleapis.com/instance_id.

Paso 3: Revisar el Pod

  1. En la Google Cloud consola, ve a la página Cargas de trabajo de Kubernetes.

    Ir a Cargas de trabajo de Kubernetes

  2. En la barra de herramientas de la consola Google Cloud , selecciona el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Filtra por el clúster que aparece en la fila Nombre completo del recurso de la pestaña Resumen de los detalles de la detección y el espacio de nombres del pod que se indica en Pod_Namespace, si es necesario.

  4. Selecciona el pod que aparece en Pod_Name. Anota los metadatos del Pod y de su propietario.

Paso 4: Consulta los registros

  1. En la Google Cloud consola, ve a Explorador de registros.

    Ir a Explorador de registros

  2. En la barra de herramientas de la consola Google Cloud , selecciona el proyecto que aparece en resource.project_display_name, si es necesario.

  3. En Seleccionar periodo, elige el periodo que te interese.

  4. En la página que se carga, haga lo siguiente:

    1. Para encontrar los registros de pods de Pod_Name, usa el siguiente filtro:
      • resource.type="k8s_container"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • resource.labels.namespace_name="Pod_Namespace"
      • resource.labels.pod_name="Pod_Name"
    2. Para encontrar los registros de auditoría de un clúster, usa el siguiente filtro:
      • logName="projects/resource.project_display_name/logs/cloudaudit.googleapis.com%2Factivity"
      • resource.type="k8s_cluster"
      • resource.labels.project_id="resource.project_display_name"
      • resource.labels.location="location"
      • resource.labels.cluster_name="cluster_name"
      • Pod_Name
    3. Para encontrar los registros de la consola de nodos de GKE, usa el siguiente filtro:
      • resource.type="gce_instance"
      • resource.labels.instance_id="instance_id"

Paso 5: Investiga el contenedor en ejecución

Si el contenedor sigue en ejecución, es posible que puedas investigar el entorno del contenedor directamente.

  1. Ve a la Google Cloud consola.

    Abrir Google Cloud consola

  2. En la barra de herramientas de la consola Google Cloud , selecciona el proyecto que aparece en resource.project_display_name, si es necesario.

  3. Haz clic en Activar Cloud Shell.

  4. Obtén las credenciales de GKE de tu clúster ejecutando los siguientes comandos.

    En el caso de los clústeres zonales:

      gcloud container clusters get-credentials cluster_name --zone location --project project_name

    En el caso de los clústeres regionales:

      gcloud container clusters get-credentials cluster_name --region location --project project_name

    Haz los cambios siguientes:

    • cluster_name: el clúster que aparece en resource.labels.cluster_name
    • location: la ubicación que aparece en resource.labels.location
    • project_name: el nombre del proyecto que aparece en resource.project_display_name

  5. Para recuperar el binario añadido, ejecuta el siguiente comando:

      kubectl cp Pod_Namespace/Pod_Name:Process_Binary_Fullpath -c Container_Name  local_file

    Sustituye local_file por una ruta de archivo local para almacenar el archivo binario añadido.

  6. Conéctate al entorno del contenedor ejecutando el siguiente comando:

      kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

    Este comando requiere que el contenedor tenga un shell instalado en /bin/sh.

Paso 6: Investiga los métodos de ataque y respuesta

  1. Revisa las entradas del framework MITRE ATT&CK de este tipo de hallazgo: Transferencia de herramienta de entrada y API nativa.
  2. Comprueba el valor del hash SHA-256 del archivo binario marcado como malicioso en VirusTotal haciendo clic en el enlace del indicador de VirusTotal. VirusTotal es un servicio propiedad de Alphabet que proporciona contexto sobre archivos, URLs, dominios y direcciones IP potencialmente maliciosos.
  3. Para desarrollar un plan de respuesta, combina los resultados de tu investigación con la investigación de MITRE y el análisis de VirusTotal.

Paso 7: Implementa tu respuesta

El siguiente plan de respuesta puede ser adecuado para este resultado, pero también puede afectar a las operaciones. Evalúa detenidamente la información que recojas en tu investigación para determinar la mejor forma de resolver los resultados.

  • Si el archivo binario se iba a incluir en el contenedor, vuelve a compilar la imagen del contenedor con el archivo binario incluido. De esta forma, el contenedor puede ser inmutable.
  • De lo contrario, ponte en contacto con el propietario del proyecto que contiene el contenedor vulnerado.
  • Detén o elimina el contenedor comprometido y sustitúyelo por un contenedor nuevo.

Siguientes pasos