Shell filho inesperado

Este documento descreve um tipo de descoberta de ameaça no Security Command Center. As descobertas de ameaças são geradas por detectores de ameaças quando eles detectam uma ameaça potencial nos seus recursos da nuvem. Para uma lista completa das descobertas de ameaças disponíveis, consulte o índice de descobertas de ameaças.

Visão geral

A Detecção de ameaças do Cloud Run observou um processo que gerou inesperadamente um processo shell filho. Esse evento pode indicar que um invasor está tentando abusar de comandos e scripts do shell.

Serviço de detecção

Detecção de ameaças do Cloud Run

Como responder

Para responder a essa descoberta, faça o seguinte:

Analisar os detalhes da descoberta

  1. Abra a descoberta Unexpected Child Shell, conforme direcionado em Como verificar descobertas. Analise os detalhes nas guias Resumo e JSON.

  2. Na guia Resumo, confira as informações nas seguintes seções:

    • O que foi detectado, especialmente os seguintes campos:
      • Processo pai: o processo que criou inesperadamente o processo do shell filho.
      • Processo filho: o processo do shell filho.
      • Argumentos: os argumentos fornecidos para o binário de processo do shell filho.
      • Variáveis de ambiente: as variáveis de ambiente do binário de processo do shell filho.
      • Contêineres: o nome do contêiner
      • URI dos contêineres: o URI da imagem do contêiner.
    • Recurso afetado, especialmente os seguintes campos:
      • Nome de exibição do recurso: o nome do recurso afetado.
      • Nome completo do recurso: o nome completo do recurso do recurso afetado do Cloud Run
    • Links relacionados, principalmente o seguinte campo:
      • Indicador do VirusTotal: link para a página de análise do VirusTotal

  3. Na guia JSON, observe os seguintes campos:

    • processes: uma matriz contendo todos os processos relacionados à descoberta. Essa matriz inclui o processo do shell filho e o processo pai.
    • resource:
      • project_display_name: nome do projeto que contém os recursos.

  4. Procure descobertas relacionadas que ocorreram em um momento semelhante para o contêiner afetado. Essas descobertas podem indicar que a atividade era maliciosa, em vez de uma falha em seguir as práticas recomendadas.

  5. Revise as configurações do contêiner afetado.

  6. Verifique os registros do contêiner afetado.

Pesquisar métodos de ataque e resposta

  1. Revise a entrada do framework MITRE ATT&CK para esse tipo de descoberta: Command and Scripting Interpreter: Unix Shell.
  2. Verifique o valor de hash SHA-256 do binário sinalizado como malicioso no VirusTotal clicando no link em Indicador do VirusTotal. O VirusTotal é um serviço da Alphabet que fornece contexto sobre arquivos, URLs, domínios e endereços IP potencialmente maliciosos.
  3. Para desenvolver um plano de resposta, combine os resultados da investigação com a pesquisa do MITRE e a análise do VirusTotal.

Implementar a resposta

Para recomendações de resposta, consulte Responder a descobertas de ameaças do Cloud Run.

A seguir