Informatique légale · Linux

Analyse forensic des unités et des services systemd – Mécanismes de persistance des systèmes Linux modernes

Sur les systèmes Linux modernes, systemd gère les services, les points de montage, les périphériques et d'autres ressources via ce qu'on appelle des « unités ». Ces fichiers d'unité peuvent également être utilisés pour exécuter des programmes de manière permanente et automatisée au démarrage du système.

Demande sans engagement

À des fins d'analyse forensic, les unités de service créées en dehors de la configuration standard du système revêtent une importance particulière, car elles peuvent constituer un mécanisme de persistance courant pour les logiciels non autorisés.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement toutes les unités systemd installées, identifions les définitions de services atypiques ou ajoutées ultérieurement, et les associons aux fichiers exécutables et aux processus correspondants.

Domaines d'application typiques

•Détection des mécanismes de persistance non autorisés
•Analyse des services installés a posteriori
•Analyse de la persistance des logiciels malveillants via systemd
•Reconstitution de l'historique de la configuration du système
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule une analyse des unités systemd

Une fois la sauvegarde effectuée, tous les fichiers d'unité systemd existants sont systématiquement répertoriés et comparés aux configurations standard connues de la distribution concernée. Les unités suspectes ou atypiques font l'objet d'une analyse séparée et sont associées aux fichiers exécutables correspondants.

En quoi l'analyse des unités systemd présente-t-elle un intérêt sur le plan de l'investigation ?

Les unités de service systemd comptent parmi les mécanismes les plus courants permettant d'exécuter des logiciels malveillants de manière permanente et automatique au démarrage du système. Leur analyse systématique constitue donc un élément central de nombreuses enquêtes menées dans le cadre de la réponse aux incidents.

Les configurations systemd pouvant être complexes et réparties sur plusieurs répertoires, leur recensement complet nécessite de connaître les chemins de recherche et les règles de priorisation correspondants.

Foire aux questions

Où sont stockés les fichiers d'unité systemd ?+
Notamment dans les répertoires système et spécifiques à l'utilisateur, dont l'ordre de priorité exact dépend de la distribution concernée.
Les pirates peuvent-ils créer leurs propres unités systemd ?+
Oui, si l'on dispose des droits d'accès nécessaires, il est possible de créer ses propres unités de service afin d'exécuter des logiciels malveillants de manière permanente.
Comment identifie-t-on les unités atypiques ?+
En comparant avec les configurations standard connues de la distribution concernée et en vérifiant la date de création ainsi que les fichiers exécutables référencés.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire professionnelle portant sur „ l'analyse judiciaire des unités et des services systemd " ? LanCologne vous accompagne dans la collecte de preuves numériques conformes aux exigences judiciaires ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant