Análise de Mecanismos de Persistência no Linux
Visão Geral
Adversários estabelecem persistência em sistemas Linux através de tarefas crontab, unidades de serviço/timer do systemd, injeção de bibliotecas LD_PRELOAD, modificações em perfis de shell (.bashrc, .profile), backdoors SSH authorized_keys e manipulação de scripts de inicialização. Esta skill verifica todos os vetores de persistência conhecidos, checa timestamps e integridade de arquivos, e correlaciona descobertas com logs auditd para construir uma linha do tempo de instalação da persistência.
Quando Usar
- Ao investigar incidentes de segurança que exigem análise de mecanismos de persistência no linux
- Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
- Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
- Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas
Pré-requisitos
- Acesso root ou sudo no sistema Linux alvo (ou imagem forense)
- auditd configurado com regras de monitoramento de arquivos nos caminhos de persistência
- Python 3.8+ com biblioteca padrão (os, subprocess, json)
- Opcional: Agente OSSEC/Wazuh para alertas de monitoramento de integridade de arquivos
Passos
- Examinar Entradas Crontab — Enumera todos os crontabs de usuários, /etc/cron.d/, /etc/cron.daily/ e tarefas anacron em busca de comandos suspeitos
- Auditar Unidades Systemd — Verifica /etc/systemd/system/ e ~/.config/systemd/user/ por unidades de serviço e timer não gerenciadas pelo pacote
- Detectar Sequestro LD_PRELOAD — Verifica /etc/ld.so.preload e a variável de ambiente LD_PRELOAD por bibliotecas compartilhadas injetadas
- Inspecionar Perfis de Shell — Examina .bashrc, .bash_profile, .profile, /etc/profile.d/ por comandos injetados ou shells reversos
- Verificar Chaves SSH Autorizadas — Audita todos os arquivos authorized_keys por chaves públicas não autorizadas com restrições de comando
- Correlacionar Logs Auditd — Pesquisa logs auditd por eventos de modificação de arquivos nos caminhos de persistência para construir uma linha do tempo de instalação
- Gerar Relatório de Persistência — Produz um relatório com pontuação de risco de todos os mecanismos de persistência descobertos
Saída Esperada
- Relatório JSON de todos os mecanismos de persistência encontrados com pontuações de risco
- Linha do tempo de instalação da persistência a partir da correlação com auditd
- Mapeamento de técnicas MITRE ATT&CK (T1053, T1543, T1574, T1546)
- Comandos de remediação para cada mecanismo de persistência detectado