Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por
detectores de ameaças quando eles detectam
uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.
Visão geral
Um modelo de machine learning identificou um código Python executado como malicioso. Os invasores podem usar o Python para transferir ferramentas e executar comandos sem binários. Manter
os contêineres imutáveis é uma prática
importante.
O uso de scripts para transferir ferramentas imita a técnica de transferência de ferramentas
de entrada do invasor e pode resultar em detecções
indesejadas.
Para responder a essa descoberta, faça o seguinte:
Analisar os detalhes da descoberta
Abra a descoberta Execution: Malicious Python executed, conforme direcionado em Como verificar
descobertas.
Analise os detalhes nas guias Resumo e JSON.
Na guia Resumo, confira as informações nas seguintes seções:
O que foi detectado, especialmente os seguintes campos:
Binário do programa: detalhes sobre o interpretador que invocou o script.
Script: caminho absoluto do nome do script no disco. Esse atributo só aparece para scripts gravados em disco, não para execução de scripts literais, por exemplo, python3 -c
Argumentos: os argumentos fornecidos ao invocar o script.
Recurso afetado, especialmente os seguintes campos:
Links relacionados, principalmente os seguintes campos:
Indicador do VirusTotal: link para a página de análise do VirusTotal
Na guia JSON, observe os seguintes campos:
finding:
processes:
script:
contents: conteúdo do script executado, que pode ser truncado
por motivos de desempenho. Isso pode ajudar na sua investigação.
sha256: o hash SHA-256 de script.contents
resource:
project_display_name: o nome do projeto que contém o recurso.
Procure descobertas relacionadas que ocorreram em um momento semelhante para o contêiner afetado. Por exemplo, se o script descartar um binário, verifique se há descobertas
relacionadas a ele. Essas descobertas podem indicar que a atividade foi maliciosa, em vez de uma falha em seguir as práticas recomendadas.
Verifique o valor de hash SHA-256 do binário sinalizado como malicioso no
VirusTotal clicando no link em
Indicador do VirusTotal. O VirusTotal é um serviço da Alphabet que
fornece contexto sobre arquivos, URLs, domínios e endereços IP
potencialmente maliciosos.
Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE e a análise do VirusTotal.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-09-05 UTC."],[],[],null,["| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers)\n\nThis document describes a threat finding type in Security Command Center. Threat findings are generated by\n[threat detectors](/security-command-center/docs/concepts-security-sources#threats) when they detect\na potential threat in your cloud resources. For a full list of available threat findings, see [Threat findings index](/security-command-center/docs/threat-findings-index).\n\nOverview\n\nA machine learning model identified executed Python code as malicious. Attackers\ncan use Python to transfer tools and execute commands without binaries. Keeping\nyour containers immutable is an important\n[practice](https://kubernetes.io/docs/concepts/containers/#container-images).\nUsing scripts to transfer tools mimics the attacker technique of [ingress tool\ntransfer](https://attack.mitre.org/techniques/T1105/) and can result in unwanted\ndetections.\n\nDetection service\n\n[Cloud Run Threat Detection](/security-command-center/docs/cloud-run-threat-detection-overview)\n\nHow to respond\n\nTo respond to this finding, do the following:\n\nReview finding details\n\n1. Open the `Execution: Malicious Python executed` finding as directed in [Reviewing\n findings](/security-command-center/docs/how-to-investigate-threats#reviewing_findings).\n Review the details on the **Summary** and **JSON** tabs.\n\n2. On the **Summary** tab, review the information in the following sections:\n\n - **What was detected** , especially the following fields:\n - **Program binary**: details about the interpreter that invoked the script\n - **Script** : absolute path of the name of the script on disk; this attribute only appears for scripts written to disk, not for literal script execution---for example, `python3 -c`\n - **Arguments**: the arguments provided when invoking the script\n - **Affected resource** , especially the following fields:\n - **Resource full name** : the [full resource name](/apis/design/resource_names) of the affected Cloud Run resource\n - **Related links** , especially the following fields:\n - **VirusTotal indicator**: link to the VirusTotal analysis page\n3. On the **JSON** tab, note the following fields:\n\n - `finding`:\n - `processes`:\n - `script`:\n - `contents`: contents of the executed script, which might be truncated for performance reasons; this can aid in your investigation\n - `sha256`: the SHA-256 hash of `script.contents`\n - `resource`:\n - `project_display_name`: the name of the project that contains the asset.\n4. Look for related findings that occurred at a similar time for the affected\n container. For example, if the script drops a binary, check for findings\n related to the binary. Such findings might indicate that this activity was\n malicious, instead of a failure to follow best practices.\n\n5. Review the settings of the affected container.\n\n6. Check the logs for the affected container.\n\nResearch attack and response methods\n\n1. Review the MITRE ATT\\&CK framework entries for this finding type: [Command and Scripting\n Interpreter](https://attack.mitre.org/techniques/T1059/) and [Ingress Tool Transfer](https://attack.mitre.org/techniques/T1105/).\n2. Check the SHA-256 hash value for the binary flagged as malicious on [VirusTotal](https://www.virustotal.com) by clicking the link in **VirusTotal indicator**. VirusTotal is an Alphabet-owned service that provides context on potentially malicious files, URLs, domains, and IP addresses.\n3. To develop a response plan, combine your investigation results with the MITRE research and VirusTotal analysis.\n\nImplement your response\n\nFor response recommendations, see [Respond to Cloud Run threat\nfindings](/security-command-center/docs/respond-cloud-run-threats).\n\nWhat's next\n\n- Learn [how to work with threat\n findings in Security Command Center](/security-command-center/docs/how-to-investigate-threats).\n- Refer to the [Threat findings index](/security-command-center/docs/threat-findings-index).\n- Learn how to [review a\n finding](/security-command-center/docs/how-to-investigate-threats#reviewing_findings) through the Google Cloud console.\n- Learn about the [services that\n generate threat findings](/security-command-center/docs/concepts-security-sources#threats)."]]
