IT-forensisch onderzoek · Linux

.bashrc- en profielbestanden forensisch analyseren – shell-initialisatie controleren als bron van persistentie

Bestanden zoals .bashrc, .bash_profile of .profile worden bij elke nieuwe shell-sessie van een gebruiker automatisch uitgevoerd en dienen doorgaans voor de individuele configuratie van de werkomgeving.

Vrijblijvend informeren

Aangezien de inhoud ervan bij elke start van een sessie automatisch wordt uitgevoerd, vormen ze een eenvoudig maar doeltreffend persistentie-mechanisme dat bij elke aanmelding van een betrokken gebruiker opnieuw in werking treedt.

Waarom LanCologne?

Sinds de oprichting richt LanCologne zich voornamelijk op professionele IT-forensiek. Onze medewerkers beschikken over tientallen jaren ervaring op het gebied van informatietechnologie en ondersteunen bedrijven, advocaten, particulieren en regelmatig ook rechtbanken bij het technisch onderzoek naar complexe digitale kwesties.

Het onderzoek vindt in principe uitsluitend plaats op basis van een forensische kopie, een forensische afspiegeling of een technisch gelijkwaardige, op bewijsveilige wijze vastgelegde gegevensbron. Het originele bewijsmateriaal blijft ongewijzigd en wordt op bewijsveilige wijze bewaard.

Onze diensten

We controleren alle relevante Shell-profielbestanden van alle gebruikersaccounts op ongebruikelijke of verdachte opdrachten en brengen deze mogelijke mechanismen voor persistentie of gegevenslekken in kaart.

Typische toepassingsgebieden

•Het opsporen van persistentie via shell-initialisatiebestanden
•Onderzoek naar gemanipuleerde gebruikersprofielen
•Analyse van de commando’s die bij het inloggen automatisch worden uitgevoerd
•Bewijs van langdurige compromittering van afzonderlijke accounts
•Incidentrespons op Linux-systemen
•Gerechtelijke en buitengerechtelijke deskundigenrapporten

Zo verloopt een analyse van de Shell-profielbestanden

Na het maken van de back-up worden alle relevante profielbestanden van alle gebruikersaccounts verzameld en op hun inhoud gecontroleerd. Atypische opdrachten, met name die welke betrekking hebben op het netwerk of die bedoeld zijn voor het uitvoeren van externe scripts, worden apart onderzocht en op basis van de metagegevens van het bestandssysteem in de tijd ingedeeld.

Waarom is deze analyse forensisch relevant?

Een gemanipuleerd .bashrc-bestand kan bij elke aanmelding van een gebruiker automatisch schadelijke code uitvoeren, zonder dat dit voor de gebruiker zelf direct zichtbaar is.

Aangezien deze bestanden normaal gesproken door de gebruiker zelf kunnen worden bewerkt, kan een manipulatie zowel het gevolg zijn van een externe aanval als van een bewuste handeling van de accounthouder, wat per geval afzonderlijk wordt beoordeeld.

Veelgestelde vragen

Welke bestanden behoren tot de shell-profielbestanden?+
Onder andere .bashrc, .bash_profile, .profile en vergelijkbare initialisatiebestanden van andere shells.
Worden deze bestanden bij elke aanmelding uitgevoerd?+
Afhankelijk van het bestand en de shell-configuratie worden ze uitgevoerd tijdens interactieve sessies, inlogsessies of beide.
Kan een aanvaller deze bestanden wijzigen zonder directe toegang tot het systeem?+
Meestal is hiervoor schrijftoegang tot de betreffende thuismap nodig, bijvoorbeeld via een eerder verkregen toegang tot het account.

🔗 Gerelateerde onderwerpen

LanCologne – Linux-forensisch onderzoek Keulen

Heeft u behoefte aan een professioneel forensisch onderzoek naar „forensische analyse van .bashrc- en profielbestanden"? LanCologne ondersteunt u bij het op een voor de rechtbank geldige wijze veiligstellen van digitaal bewijsmateriaal en bij de traceerbare analyse van relevante Linux-artefacten.

Nu contact opnemen