Informática Forense · Linux

Análise forense de unidades e serviços do systemd – Mecanismos de persistência dos sistemas Linux modernos

No Linux moderno, o systemd gere serviços, pontos de montagem, dispositivos e outros recursos através das chamadas «units». Estes ficheiros de unit também podem ser utilizados para executar programas de forma permanente e automática no arranque do sistema.

Pedido de informação sem compromisso

Para fins forenses, as unidades de serviço criadas fora da configuração normal do sistema são particularmente relevantes, uma vez que podem constituir um mecanismo de persistência comum para software não autorizado.

Porquê o LanCologne?

Desde a sua fundação, a LanCologne dedica-se principalmente à informática forense profissional. Os nossos colaboradores possuem décadas de experiência na área das tecnologias da informação e prestam apoio a empresas, advogados, particulares e, regularmente, também a tribunais, na investigação técnica de casos digitais complexos.

A investigação é, em princípio, realizada exclusivamente numa cópia forense, numa imagem forense ou numa fonte de dados registada de forma tecnicamente equivalente e que garanta a integridade probatória. O meio de prova original permanece inalterado e é guardado de forma a garantir a integridade probatória.

Os nossos serviços

Analisamos sistematicamente todas as unidades do systemd instaladas, identificamos definições de serviços atípicas ou adicionadas posteriormente e associamo-las aos ficheiros executáveis e processos correspondentes.

Áreas de aplicação típicas

•Detecção de mecanismos de persistência não autorizados
•Análise de serviços instalados posteriormente
•Análise da persistência do malware através do systemd
•Reconstrução do histórico de configuração do sistema
•Resposta a incidentes em sistemas Linux
•Pareceres judiciais e extrajudiciais

É assim que decorre uma análise das unidades do systemd

Após a criação da cópia de segurança, todos os ficheiros de unidades do systemd existentes são registados sistematicamente e comparados com as configurações padrão conhecidas da respetiva distribuição. As unidades que se destacam ou que são atípicas são analisadas separadamente e associadas aos ficheiros executáveis correspondentes.

Por que razão a análise das unidades do systemd é relevante do ponto de vista forense?

As unidades de serviço do systemd estão entre os mecanismos mais comuns para executar software malicioso de forma permanente e automática aquando do arranque do sistema. A sua verificação sistemática é, por isso, uma componente central de muitas investigações de resposta a incidentes.

Uma vez que as configurações do systemd podem ser complexas e estar distribuídas por vários diretórios, um registo completo requer o conhecimento dos respetivos caminhos de pesquisa e regras de priorização.

Perguntas frequentes

Onde são guardados os ficheiros de unidades do systemd?+
Entre outros, em diretórios do sistema e específicos do utilizador, cuja priorização exata depende da respetiva distribuição.
Os atacantes podem criar as suas próprias unidades do systemd?+
Sim, com permissões suficientes, é possível criar as próprias unidades de serviço para executar software malicioso de forma permanente.
Como é que se identificam as unidades atípicas?+
Através da comparação com configurações padrão conhecidas da respetiva distribuição, bem como através da verificação da data de criação e dos ficheiros executáveis referenciados.

🔗 Temas relacionados

LanCologne – Análise Forense do Linux em Colónia

Precisa de uma investigação forense profissional sobre „análise forense de unidades e serviços do systemd"? A LanCologne apoia-o na recolha de provas digitais com validade judicial, bem como na avaliação transparente de artefactos Linux relevantes.

Entre em contacto connosco agora