DFIR
Archivos inmutables ocultos
Un truco de atacante avanzado: hacer sus archivos inmutables con chattr, para que ni siquiera root los pueda borrar de forma normal.
Si intentas eliminar una puerta trasera y te dice operación no permitida aunque seas root, sospecha. Con lsattr ves los atributos: una i minúscula significa inmutable.
Para borrarlo, primero le quitas el atributo con chattr menos i. Revisa las carpetas críticas buscando estos archivos protegidos que tú no pusiste.
# los comandos
analyst@victim:~# rm /etc/cron.d/backdoorcopiarrm: no se puede borrar: Operation not permitted
analyst@victim:~# lsattr /etc/cron.d/backdoorcopiar----i--------e--- /etc/cron.d/backdoor
analyst@victim:~# lsattr -R /etc/ /root/ 2>/dev/null | grep -- '-i-'copiaranalyst@victim:~# chattr -i /etc/cron.d/backdoor && rm /etc/cron.d/backdoorcopiar