Análise de Mecanismos de Persistência em Linux

Visão Geral

Adversários estabelecem persistência em sistemas Linux através de jobs crontab, unidades de serviço/timer systemd, injeção de bibliotecas LD_PRELOAD, modificações de perfil de shell (.bashrc, .profile), backdoors em arquivos SSH authorized_keys e manipulação de scripts init. Esta habilidade escaneia todos os vetores de persistência conhecidos, verifica timestamps e integridade de arquivos, e correlaciona descobertas com logs do auditd para construir uma linha do tempo da instalação da persistência.

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de mecanismos de persistência em Linux.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Acesso root ou sudo no sistema Linux alvo (ou imagem forense).
• auditd configurado com regras de watch de arquivos nos caminhos de persistência.
• Python 3.8+ com biblioteca padrão (os, subprocess, json).
• Opcional: Agente OSSEC/Wazuh para alertas de monitoramento de integridade de arquivos.

Passos

1. Escanear Entradas Crontab — Enumerar todos os crontabs de usuários, /etc/cron.d/, /etc/cron.daily/ e jobs anacron em busca de comandos suspeitos.
2. Auditar Unidades Systemd — Verificar /etc/systemd/system/ e ~/.config/systemd/user/ em busca de unidades de serviço e timer não gerenciadas por pacotes.
3. Detectar Hijacking de LD_PRELOAD — Verificar /etc/ld.so.preload e a variável de ambiente LD_PRELOAD em busca de bibliotecas compartilhadas injetadas.
4. Inspecionar Perfis de Shell — Escanear .bashrc, .bash_profile, .profile, /etc/profile.d/ em busca de comandos injetados ou reverse shells.
5. Verificar Chaves Autorizadas SSH — Auditar todos os arquivos authorized_keys em busca de chaves públicas não autorizadas com restrições de comando.
6. Correlacionar Logs do Auditd — Pesquisar logs do auditd por eventos de modificação de arquivo em caminhos de persistência para construir uma linha do tempo de instalação.
7. Gerar Relatório de Persistência — Produzir um relatório com pontuação de risco de todos os mecanismos de persistência descobertos.

Saída Esperada

• Relatório JSON de todos os mecanismos de persistência encontrados com pontuações de risco.
• Linha do tempo da instalação de persistência a partir da correlação do auditd.
• Mapeamento de técnicas MITRE ATT&CK (T1053, T1543, T1574, T1546).
• Comandos de remediação para cada mecanismo de persistência detectado.