Informatique légale · Linux

.Analyse médico-légale des fichiers .bashrc et des fichiers de profil – Vérification de l'initialisation du shell en tant que source de persistance

Les fichiers tels que .bashrc, .bash_profile ou .profile sont exécutés automatiquement à chaque nouvelle session de shell d'un utilisateur et servent généralement à personnaliser l'environnement de travail.

Demande sans engagement

Comme leur contenu est exécuté automatiquement à chaque démarrage de session, elles constituent un mécanisme de persistance simple mais efficace, qui se réactive à chaque connexion d'un utilisateur concerné.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons l'ensemble des fichiers de profil Shell pertinents de tous les comptes utilisateurs à la recherche de commandes atypiques ou suspectes, et nous les classons en fonction de ces mécanismes potentiels de persistance ou d'exfiltration de données.

Domaines d'application typiques

•Détection de la persistance via les fichiers d'initialisation du shell
•Enquête sur des profils d'utilisateurs falsifiés
•Analyse automatisée des commandes exécutées lors de la connexion
•Preuve d'une compromission durable de certains comptes
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse des fichiers de profil Shell

Une fois la sauvegarde effectuée, tous les fichiers de profil pertinents de tous les comptes utilisateurs sont recensés et leur contenu est vérifié. Les commandes inhabituelles, en particulier celles liées au réseau ou destinées à exécuter des scripts externes, font l'objet d'une analyse distincte et sont classées chronologiquement à l'aide des métadonnées du système de fichiers.

En quoi cette analyse présente-t-elle un intérêt sur le plan médico-légal ?

Un fichier .bashrc altéré peut exécuter automatiquement du code malveillant à chaque connexion d'un utilisateur, sans que celui-ci ne s'en rende compte immédiatement.

Étant donné que ces fichiers peuvent normalement être modifiés par l'utilisateur lui-même, une altération peut résulter aussi bien d'une attaque externe que d'un acte délibéré du titulaire du compte, ce qui doit être évalué au cas par cas.

Foire aux questions

Quels sont les fichiers qui font partie des fichiers de profil du shell ?+
Notamment .bashrc, .bash_profile, .profile ainsi que les fichiers d'initialisation équivalents d'autres shells.
Ces fichiers sont-ils exécutés à chaque connexion ?+
En fonction du fichier et de la configuration du shell, elles sont exécutées lors de sessions interactives, de sessions de connexion, ou les deux.
Un pirate peut-il modifier ces fichiers sans avoir directement accès au système ?+
En règle générale, cela nécessite un droit d'écriture sur le répertoire personnel concerné, par exemple grâce à un accès au compte obtenu au préalable.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des fichiers .bashrc et des fichiers de profil " ? LanCologne vous aide à sécuriser les preuves numériques de manière à ce qu'elles soient recevables devant les tribunaux, ainsi qu'à analyser de manière traçable les artefacts Linux pertinents.

Nous contacter dès maintenant