Trabajos programados y unidades de systemd

En Linux un trabajo recurrente puede estar en /etc/crontab, en un archivo suelto de /etc/cron.d, en el crontab propio de una cuenta (en las distribuciones de la familia Debian, en /var/spool/cron/crontabs) o en una pareja de unidades de systemd, una de servicio y otra de temporizador. MITRE ATT&CK las separa: cron es T1053.003 y el servicio de systemd es T1543.002. Un cazador que solo mira uno de los cuatro sitios declara limpio un servidor que no lo está.

La base de comparación es la lista de programados aprobados. Lo que cuenta como pista es lo que no está en ella, sobre todo si lo creó alguien en la ventana del incidente y si lo ejecuta una cuenta con privilegios.

Un programado nuevo no es sospechoso por existir: los instaladores y los administradores los crean a diario. Lo sospechoso es la combinación de rasgos: lo ejecuta una cuenta con privilegios o una de servicio que no programa nada; el binario está en una ruta temporal o en una carpeta oculta; el nombre imita un servicio del sistema; el archivo se creó en la ventana del incidente; y no hay solicitud de cambio. Cuantos más rasgos coinciden, más pesa; ninguno solo basta.

Esto es la misma idea de cazar la conducta y no el nombre que ya aparece en el módulo 5, aplicada al servidor Linux: el nombre se cambia en un segundo, la ruta, la cuenta y la fecha cuestan más de disimular.

Abre el laboratorio, lee programados-aprobados.txt y recorre /srv/cdm-lnx-db01/etc/cron.d. Verás un archivo que corresponde a una aprobación y otro que no. Tienes también fechas-de-modificacion.txt para ver cuándo se creó.

El temporizador del sistema también guarda lo suyo. En timers.txt hay tres temporizadores y en etc/systemd/system están los archivos de unidad. Una de las unidades de servicio no figura entre los programados aprobados, ejecuta como root un binario de una carpeta oculta de /var/tmp y se creó en la misma ventana que el archivo de cron.d. Un hallazgo que aparece dos veces por dos vías distintas indica que el intruso quiso asegurar el regreso por si una de ellas se descubría.

El extracto cron.log recoge las líneas del servicio cron del 18 de noviembre, de 03:00 a 03:35. El programado de cron.d se ejecuta cada siete minutos; con un extracto, lo que cuenta no es lo que dice el archivo de configuración sino lo que el registro muestra que ocurrió. Cuenta las ejecuciones del binario del programado no aprobado y no las de otros trabajos que comparten el registro.