此页面由 Cloud Translation API 翻译。

执行：已执行内置恶意二进制文件

本文档介绍了 Security Command Center 中的一种威胁发现结果类型。当威胁检测器在您的云资源中检测到潜在威胁时，会生成威胁发现结果。如需查看可用威胁发现结果的完整列表，请参阅威胁发现结果索引。

概览

已执行的二进制文件，其中包含二进制文件：

攻击者控制容器映像代码库或创建流水线，并将恶意二进制文件注入到容器映像中。

如需响应此发现结果，请执行以下操作：

按照查看发现结果中所述，打开 Execution: Built in Malicious Binary Executed 发现结果。系统会打开发现结果详细信息面板，以显示摘要标签页。
在摘要标签页上，查看以下部分中的信息：
- 检测到的内容，尤其是以下字段：
  - 程序二进制文件：内置二进制文件的绝对路径。
  - 参数：调用内置二进制文件时提供的参数。
  - 容器：受影响的容器的名称。
  - 容器 URI：要部署的容器映像的名称。
- 受影响的资源，尤其是以下字段：
  - 资源全名：集群的完整资源名称，其中包括项目编号、位置和集群名称。
- 相关链接，尤其是以下字段：
  - VirusTotal 指示器：指向 VirusTotal 分析页面的链接。
点击 JSON，并注意以下字段：
- sourceProperties：
  - VM_Instance_Name：在其中执行 Pod 的 GKE 节点的名称。

如果容器仍在运行，则或许可以直接检查容器环境。

前往 Google Cloud 控制台。

打开 Google Cloud 控制台
如有必要，在 Google Cloud 控制台工具栏中选择 resource.project_display_name 中列出的项目。
点击激活 Cloud Shell
通过运行以下命令获取集群的 GKE 凭据。

对于可用区级集群：
```
  gcloud container clusters get-credentials cluster_name --zone location --project project_name
```
对于区域级集群：
```
  gcloud container clusters get-credentials cluster_name --region location --project project_name
```
替换以下内容：
- cluster_name：resource.labels.cluster_name 中列出的集群
- location：resource.labels.location 中列出的位置
- project_name：resource.project_display_name 中列出的项目名称
检索内置的恶意二进制文件：
```
  kubectl cp Pod_Namespace/Pod_Name:Process_Binary_Fullpath -c Container_Name  local_file
```
将 local_file 替换为用于存储构建的 tin 恶意二进制文件的本地路径。

连接到容器环境：

  kubectl exec --namespace=Pod_Namespace -ti Pod_Name -c Container_Name -- /bin/sh

此命令要求容器在 /bin/sh 处安装 shell。

查看此发现结果类型的 MITRE ATT&CK 框架条目：Ingress Tool Transfer、原生 API。
点击 VirusTotal 指标中的链接，以检查 VirusTotal 上标记为恶意的二进制文件的 SHA-256 哈希值。VirusTotal 是一项 Alphabet 自有服务，提供了有关潜在恶意文件、网址、网域和 IP 地址的上下文。
如需制定响应方案，请将您的调查结果与 MITRE 研究和 VirusTotal 分析相结合。

以下响应方案可能适合此发现结果，但也可能会影响运营。请仔细评估您在研究中收集的信息，以确定解析发现结果的最佳方法。