Ausführung: Modifizierte schädliche Binärdatei ausgeführt

In diesem Dokument wird ein Typ von Bedrohungsergebnissen in Security Command Center beschrieben. Bedrohungsergebnisse werden von Bedrohungsdetektoren generiert, wenn sie eine potenzielle Bedrohung in Ihren Cloud-Ressourcen erkennen. Eine vollständige Liste der verfügbaren Bedrohungsergebnisse finden Sie im Index der Bedrohungsergebnisse.

Übersicht

Eine Binärdatei, die im ursprünglichen Container-Image enthalten ist, wurde ausgeführt. Die Binärdatei wurde während der Containerlaufzeit geändert und anhand von Threat Intelligence als schädlich identifiziert.

Angreifer installieren häufig Ausbeutungstools und Malware nach dem anfänglichen Manipulationsprozess.

Erkennungsdienst

Cloud Run Threat Detection

So reagieren Sie

Gehen Sie folgendermaßen vor, um auf dieses Ergebnis zu reagieren:

Details zu Ergebnissen ansehen

  1. Öffnen Sie das Execution: Modified Malicious Binary Executed-Ergebnis, wie unter Ergebnisse prüfen beschrieben. Sehen Sie sich die Details auf den Tabs Zusammenfassung und JSON an.

  2. Sehen Sie sich auf dem Tab Zusammenfassung die Informationen in den folgenden Abschnitten an:

    • Was wurde erkannt?, insbesondere die folgenden Felder:
      • Binärprogramm des Programms: der absolute Pfad der geänderten Binärdatei
      • Argumente: die Argumente, die beim Aufrufen der geänderten Binärdatei angegeben wurden
      • Containers: der Name des betroffenen Containers
      • Container-URI: Der Name des bereitgestellten Container-Images
    • Betroffene Ressource, insbesondere die folgenden Felder:
    • Weitere Informationen, insbesondere das folgende Feld:
      • VirusTotal-Indikator: Link zur VirusTotal-Analyseseite

  3. Suchen Sie nach ähnlichen Ergebnissen, die für den betroffenen Container zu einem ähnlichen Zeitpunkt aufgetreten sind. Solche Ergebnisse können darauf hindeuten, dass diese Aktivität böswillig war und nicht auf einem Verstoß gegen die Best Practices beruht.

  4. Überprüfen Sie die Einstellungen des betroffenen Containers.

  5. Prüfen Sie die Logs des betroffenen Containers.

Angriffs- und Reaktionsmethoden untersuchen

  1. Sehen Sie sich die MITRE-ATT&CK-Framework-Einträge für diesen Ergebnistyp an: Ingress-Tool-Übertragung und Native API.
  2. Prüfen Sie den SHA-256-Hashwert für die als schädlich gekennzeichnete Binärdatei auf VirusTotal, indem Sie auf den Link in VirusTotal-Indikator klicken. VirusTotal ist ein Alphabet-eigener Dienst, der Kontext zu potenziell schädlichen Dateien, URLs, Domains und IP-Adressen bereitstellt.
  3. Wenn Sie einen Reaktionsplan entwickeln möchten, kombinieren Sie Ihre Untersuchungsergebnisse mit der MITRE-Forschung und der VirusTotal-Analyse.

Antwort implementieren

Informationen zu Reaktionsempfehlungen finden Sie unter Auf Cloud Run-Bedrohungsbefunde reagieren.

Nächste Schritte