Informática forense · Linux

Reconstrucción forense de shells inversos: cómo demostrar forénsicamente los accesos remotos salientes de los atacantes

Eine Reverse Shell ist eine von einem kompromittierten System aus aktiv aufgebaute Verbindung zu einem vom Angreifer kontrollierten Server, über die diesem eine interaktive Kommandozeile auf dem betroffenen System bereitgestellt wird.

Solicitar información sin compromiso

Da eine solche Verbindung vom kompromittierten System selbst ausgeht, kann sie mitunter einfacher perimeterbasierte Sicherheitsmaßnahmen umgehen, die primär eingehende Verbindungen kontrollieren.

¿Por qué LanCologne?

Desde su fundación, LanCologne se ha dedicado principalmente a la informática forense profesional. Nuestros empleados cuentan con décadas de experiencia en el ámbito de las tecnologías de la información y prestan apoyo a empresas, abogados, particulares y, con frecuencia, también a los tribunales en la investigación técnica de casos digitales complejos.

El análisis se lleva a cabo, por regla general, exclusivamente sobre una copia forense, una imagen forense o una fuente de datos capturada de forma técnicamente equivalente y que garantice la integridad de las pruebas. La prueba original permanece inalterada y se conserva de forma que se garantice la integridad de las pruebas.

Nuestros servicios

Wir untersuchen Systeme auf Hinweise für den Einsatz von Reverse Shells, rekonstruieren zugehörige Netzwerkverbindungen und Prozessaktivitäten und ordnen ausgeführte Befehle soweit möglich zeitlich zu.

Ámbitos de aplicación habituales

•Nachweis des Einsatzes einer Reverse Shell
•Rekonstruktion über eine Reverse Shell ausgeführter Befehle
•Identifikation der Zielinfrastruktur des Angreifers
•Bewertung des über die Verbindung erlangten Zugriffsumfangs
•Respuesta ante incidentes en sistemas Linux
•Peritajes judiciales y extrajudiciales

So läuft eine Reverse-Shell-Untersuchung ab

Nach der Sicherung werden verfügbare Netzwerk- und Prozessartefakte auf Hinweise für ausgehende, atypische Verbindungen geprüft. Zugehörige auslösende Prozesse sowie eingesetzte Werkzeuge werden identifiziert und mit weiteren Systemartefakten zu einer zeitlichen Chronologie zusammengeführt.

Warum ist die Reverse-Shell-Untersuchung forensisch relevant?

Eine Reverse Shell stellt häufig den unmittelbaren, interaktiven Zugriffsweg eines Angreifers dar, weshalb ihre forensische Rekonstruktion zentrale Erkenntnisse über den Umfang und die Dauer eines Zugriffs liefern kann.

Die Kenntnis der vom Angreifer genutzten Zielinfrastruktur kann zudem für weitergehende Maßnahmen sowie für eine mögliche Zuordnung des Vorfalls von Bedeutung sein.

Preguntas frecuentes

Wie unterscheidet sich eine Reverse Shell von einer klassischen Shell-Verbindung?+
Bei einer Reverse Shell baut das kompromittierte System die Verbindung aktiv zum Angreifer auf, statt dass sich der Angreifer aktiv auf das System verbindet.
Kann eine bereits beendete Reverse-Shell-Verbindung noch nachgewiesen werden?+
Sofern entsprechende Netzwerk-, Prozess- oder Log-Artefakte noch vorhanden sind, ist dies in vielen Fällen möglich.
Welche Werkzeuge werden für Reverse Shells häufig missbraucht?+
Unter anderem gängige, auf vielen Systemen ohnehin vorhandene Interpreter und Netzwerkwerkzeuge, die zweckentfremdet eingesetzt werden.

🔗 Temas relacionados

LanCologne – Análisis forense de Linux en Colonia

Sie benötigen eine professionelle forensische Untersuchung zu „Reverse Shells forensisch rekonstruieren"? LanCologne unterstützt Sie bei der gerichtsfesten Sicherung digitaler Beweismittel sowie der nachvollziehbaren Auswertung relevanter Linux-Artefakte.

Ponte en contacto con nosotros ahora