IT forenzika · Linux

.Forenzička analiza .bashrc i profilnih datoteka – ispitivanje inicijalizacije shell-a kao izvora postojanosti

Datoteke poput .bashrc, .bash_profile ili .profile automatski se izvršavaju na početku svake nove sesije shell-a i obično se koriste za prilagodbu radnog okruženja.

Upitajte bez obaveze

Budući da se njihovi sadržaji automatski izvršavaju svaki put kad se započne sesija, oni pružaju jednostavan, ali učinkovit mehanizam trajnosti koji se ponovno aktivira svaki put kad se pogođeni korisnik prijavi.

Zašto LanCologne?

Od osnutka se LanCologne specijalizirao za profesionalnu IT forenziku. Naše osoblje ima desetljeća iskustva u području informacijske tehnologije te pomaže tvrtkama, odvjetnicima, privatnim osobama i, na redovitoj osnovi, sudovima u tehničkoj istrazi složenih digitalnih pitanja.

Ispitivanje se, po načelu, provodi isključivo na forenzičkoj kopiji, forenzičkoj slici ili izvoru podataka prikupljenom na tehnički ekvidentan način koji očuva cjelovitost dokaza. Izvorni dokaz ostaje nepromijenjen i pohranjuje se na način koji očuva njegovu cjelovitost.

Naše usluge

Skeneramo sve relevantne Shell profile datoteke za sve korisničke račune radi otkrivanja bilo kakvih atipičnih ili sumnjivih naredbi te ih kategoriziramo kao potencijalne mehanizme za trajno prisustvo ili iznošenje podataka.

Tipična područja primjene

•Otkrivanje postojanosti putem inicijalizacijskih datoteka shell-a
•Istraga o manipuliranim korisničkim profilima
•Analiza naredbi koje se automatski izvršavaju pri prijavi
•Dokazi o trajnom narušavanju pojedinačnih računa
•Odgovor na incidente na Linux sustavima
•Sudski i nerasudski vještački nalazi

Ovo je način na koji se provodi analiza Shell profilnih datoteka.

Nakon što je sigurnosno kopiranje dovršeno, prikupljaju se sve relevantne profilne datoteke za sve korisničke račune i provjerava se njihov sadržaj. Neobične naredbe, osobito one koje se odnose na mrežu ili su osmišljene za izvođenje vanjskih skripti, pregledavaju se zasebno, a njihovo vrijeme izvođenja utvrđuje se pomoću metapodataka datotečnog sustava.

Zašto je ova analiza relevantna iz forenzičke perspektive?

Mijenjana datoteka .bashrc može automatski izvršavati zlonamjerni kod svaki put kad se korisnik prijavi, a da korisnik to ne primijeti odmah.

Budući da korisnik obično sam uređuje te datoteke, svako neovlašteno mijenjanje može biti posljedica vanjskog napada ili namjerne radnje vlasnika računa, što se mora procjenjivati od slučaja do slučaja.

Često postavljana pitanja

Koje datoteke su dio shell profila?+
To uključuje .bashrc, .bash_profile, .profile i slične inicijalizacijske datoteke za druge shellove.
Pokreću li se ove datoteke svaki put kad se prijavite?+
Ovisno o datoteci i konfiguraciji shell-a, izvršavaju se tijekom interaktivnih sesija, prijavnih sesija ili oboje.
Može li napadač izmijeniti ove datoteke bez izravnog pristupa sustavu?+
Kao pravilo, to zahtijeva pristup pisanju u odgovarajuću početnu mapu, na primjer putem prethodno dobivenog pristupa računu.

🔗 Povezane teme

LanCologne – Forenzika Linuxa u Kölnu

Trebate li profesionalnu forenzičku istragu „forenzičke analize .bashrc i profilnih datoteka"? LanCologne vam može pomoći pri pravno prihvatljivom očuvanju digitalnih dokaza i praćenoj analizi relevantnih Linux artefakata.

Kontaktirajte nas odmah