Изучили с командой две последние вредоносные находки/атаки/малвари нацеленные на облачные окружения (и не только):
1) "HeadCrab: A Novel State-of-the-Art Redis Malware in a Global Campaign" - вектор банален: Redis без аутентификации, смотрящий в интернет. Во вредоносной логике тоже нет как по мне никакого State-of-the-Art. Есть только забавный момент, что если код понимает, что он в контейнере, то он не пытается там даже закрепиться)
2) "PyLoose: Python-based fileless malware targets cloud workloads to deliver cryptominer" - точка входа это торчащий наружу Jupyter Notebook сервис.

Так оба вредоносного кода для реализации fileless техники используют memfd. При этом как вы понимаете все равно есть та часть, которая сначала грузиться в тот же контейнер, что-то делает, подготавливает и затем уже скачивает эту вот fileless часть. У вас или у вашего SOC вопросы должны уже появляться на 1 шаге, не говоря уже о том, что при наличии NetworkPolicy можно вообще сделать так что это вообще не состояться.