Persistencia en Linux

El equivalente a la tarea programada de Windows es cron: entradas que ejecutan un comando a intervalos o a horas fijas. En mol-fs01 aparece una línea de cron que corre un binario alojado en /tmp/.c cada pocos minutos, como root, y se añadió en plena ventana del incidente. Ninguna de esas tres cosas es de una tarea legítima: un paquete instala sus trabajos en rutas de sistema, no en un directorio temporal; el intervalo corto delata un implante que quiere volver pronto; y la hora de creación cae justo en el ataque. La forma lo delata, no el nombre del comando.

Como en Windows, lo que distingue la persistencia no es que se llame raro, sino la combinación: ruta temporal, intervalo corto y creada cuando nadie legítimo estaba tocando el sistema.

Cron no es la única vía. Una unidad de systemd puede arrancar un binario como servicio, antes de que nadie inicie sesión y con privilegios altos —y en mol-fs01 la unidad sys-health apunta al mismo binario de /tmp/.c que el cron—. Los ficheros de arranque de la shell (/etc/profile.d, .bashrc) ejecutan comandos en cada inicio de sesión. Y una clave SSH añadida a authorized_keys deja entrar sin contraseña a quien tenga la clave privada. Cuatro mecanismos distintos, varios apuntando al mismo implante: persistencia redundante, igual que en Windows.

Reconocer cada vía es saber dónde mira: cron para lo programado, systemd para lo que arranca con la máquina, los perfiles para lo que corre al entrar, authorized_keys para el acceso sin contraseña.

La clave SSH merece mirarse aparte porque no ejecuta nada por sí sola: es acceso puro. Una línea añadida a authorized_keys de una cuenta deja entrar a cualquiera que tenga la clave privada correspondiente, sin contraseña y sin volver a explotar nada. En mol-fs01, la cuenta svc-finanzas tiene una clave extra añadida durante el incidente y sin dueño registrado. Borrar el implante y dejar esa clave es dejar la puerta con una llave nueva en manos del atacante: vuelve a entrar limpiamente la próxima vez.

Una credencial añadida es persistencia tan real como un servicio: no hace ruido, no ejecuta nada sospechoso, simplemente deja la puerta abierta para quien tenga la llave.

Abre el laboratorio de la persistencia en Linux. Tienes el cron, las unidades de systemd, los ficheros de arranque de la shell y las claves SSH de mol-fs01. Localiza el mecanismo que ejecuta un binario desde una ruta temporal a intervalo corto y que ningún administrador creó —el que delata su forma, no su nombre—. Su anotación lleva el código de la sala.