DFIR
Más escondites de persistencia
Además del cron, hay muchos rincones donde esconder el arranque automático.
Revisa los timers de systemd, la versión moderna del cron. Mira los perfiles de shell como profile y bashrc, y también el mensaje del día, el motd, que se ejecuta al entrar.
Revisa los scripts de arranque en rc punto local. Y los servicios de usuario en la carpeta systemd del home.
La persistencia es un juego del gato y el ratón: aprende todos los escondites.
# los comandos
analyst@victim:~# systemctl list-timers --all | headcopiarupdate.timer activo
beacon.timer cada 5min <- sospechoso
analyst@victim:~# grep -rIl 'bash -i\|/dev/tcp\|base64 -d' /etc/profile.d/ /etc/update-motd.d/ 2>/dev/nullcopiaranalyst@victim:~# cat /etc/rc.local ~/.config/systemd/user/*.service 2>/dev/nullcopiar