Редкие техники закрепления. Часть 4

Редкие техники закрепления. Часть 4

Читайте также про: Zabbix Agent, TimeProvider, COM Hijacking, WMICLNT.

5️⃣ Systemd Generator

Systemd Generator — это исполняемый файл, который systemd запускает на этапе загрузки системы (или при выполнении daemon-reload) для динамического создания unit-файлов служб, целей и точек монтирования. Злоумышленники используют этот механизм для скрытого закрепления, поскольку генераторы выполняются с привилегиями root до запуска основных служб и редко проверяются администраторами.

Ключевые директории:

• /etc/systemd/system-generators/*
• /usr/local/lib/systemd/system-generators/*
• /lib/systemd/system-generators/* (или /usr/lib/systemd/system-generators/)

😐 Механизм закрепления:

1. Злоумышленник помещает исполняемый файл в одну из ключевых директорий — скрипт или бинарный файл (обычно с маскирующим именем, например systemd-cp-generator).

2. При каждой загрузке системы или выполнении systemctl daemon-reload — systemd запускает все найденные генераторы.

3. Генератор может: создать свой сервис в /run/systemd/system/ и включить его, перезаписать юниты существующих служб (особенно через /run/systemd/generator.early/, где приоритет выше, чем у /etc/systemd/system/), отключить критически важные средства защиты, выполнить полезную нагрузку напрямую.

😮 Рекомендации:

Поскольку генераторы запускаются до систем мониторинга, основной метод — мониторинг файловой системы на предмет создания и изменения файлов в директориях генераторов.

1. Мониторинг файловой системы — в первую очередь отслеживайте создание и изменение файлов в перечисленных директориях. Используйте auditd, так как он работает на уровне ядра и может сработать даже при ранней загрузке.

2. Контроль целостности — периодически сверяйте хеш-суммы файлов в директориях генераторов с эталонными.

3. Ограничение прав — запретите обычным пользователям и непривилегированным процессам запись в эти директории.

4. Анализ генераторов — проверяйте нестандартные или недавно появившиеся генераторы, особенно если они не от легитимных пакетов (openvpn, systemd-rc-local-generator и т.п.).

На этом с этой серией постов — пока что все 😉

#ir #dfir #tips
@ptescalator