~ / blog / dfir
DFIR

Archivos inmutables ocultos

Un truco de atacante avanzado: hacer sus archivos inmutables con chattr, para que ni siquiera root los pueda borrar de forma normal.

Si intentas eliminar una puerta trasera y te dice operación no permitida aunque seas root, sospecha. Con lsattr ves los atributos: una i minúscula significa inmutable.

Para borrarlo, primero le quitas el atributo con chattr menos i. Revisa las carpetas críticas buscando estos archivos protegidos que tú no pusiste.

# los comandos

analyst@victim:~# rm /etc/cron.d/backdoorcopiar
rm: no se puede borrar: Operation not permitted
analyst@victim:~# lsattr /etc/cron.d/backdoorcopiar
----i--------e--- /etc/cron.d/backdoor
analyst@victim:~# lsattr -R /etc/ /root/ 2>/dev/null | grep -- '-i-'copiar
analyst@victim:~# chattr -i /etc/cron.d/backdoor && rm /etc/cron.d/backdoorcopiar
root@cero: ~/newsletter
┌──(root@cero)-[~]
└─# suscribir --envio-semanal
un comando a la semana que te hace más difícil de hackear.
una sola herramienta, explicada en español claro, cada semana. lo mejor de los reels, directo a tu correo.
email =
sin spam. un correo a la semana. te sales cuando quieras.