IT-forenzika · Linux

.Forenzična analiza datotek .bashrc in profilnih datotek – preverjanje inicializacije lupine kot vira vztrajnosti

Datoteke, kot so .bashrc, .bash_profile ali .profile, se samodejno izvedejo ob vsaki novi seji lupine (shell) uporabnika in se običajno uporabljajo za individualno konfiguracijo delovnega okolja.

Nezavezujoča poizvedba

Ker se njihova vsebina samodejno izvede ob vsakem zagonu seje, predstavljajo preprost, a učinkovit mehanizem ohranjanja stanja, ki se ponovno aktivira ob vsakem prijavi zadevnega uporabnika.

Zakaj LanCologne?

Od ustanovitve se podjetje LanCologne osredotoča predvsem na profesionalno IT-forenziko. Naši zaposleni imajo več desetletij izkušenj na področju informacijske tehnologije in pomagajo podjetjem, odvetnikom, posameznikom ter redno tudi sodiščem pri tehničnem raziskovanju zapletenih digitalnih primerov.

Preiskava se načeloma izvaja izključno na forenzični kopiji oziroma forenzičnem odtisu ali na tehnično enakovrednem viru podatkov, ki je bil zajet na način, ki zagotavlja dokazno varnost. Izvirni dokazni material ostane nespremenjen in se hrani na način, ki zagotavlja dokazno varnost.

Naše storitve

Preverjamo vse relevantne datoteke s profilom Shell za vsa uporabniška računa, da bi odkrili neobičajne ali sumljive ukaze, in jih razvrstimo glede na morebitne mehanizme vztrajnosti ali izčrpavanja podatkov.

Tipična področja uporabe

•Odkrivanje vztrajnosti prek inicializacijskih datotek lupine
•Preiskava ponarejenih uporabniških profilov
•Avtomatizirana analiza ukazov, izvedenih ob prijavi
•Dokaz o trajnem vdoru v posamezne račune
•Odzivanje na incidente v sistemih Linux
•Sodna in izvensodna izvedenska mnenja

Tako poteka analiza profilnih datotek Shell

Po varnostnem kopiranju se zajamejo vse relevantne datoteke profilov vseh uporabniških računov in preveri njihova vsebina. Netipična ukaza, zlasti tista, povezana z omrežjem ali za izvajanje zunanjih skriptov, se posebej preučijo in časovno razvrstijo na podlagi metapodatkov datotečnega sistema.

Zakaj je ta analiza pomembna s forenzičnega vidika?

Manipulirana datoteka .bashrc lahko ob vsakem prijavi uporabnika samodejno izvede zlonamerno kodo, ne da bi to bilo za uporabnika takoj opazno.

Ker lahko uporabnik te datoteke običajno sam ureja, je mogoče, da je do njihove spremembe prišlo bodisi zaradi zunanjega napada bodisi zaradi namernega dejanja imetnika računa, kar se v posameznem primeru ocenjuje ločeno.

Pogosta vprašanja

Kateri datoteki spadajo med profilne datoteke lupine?+
Med drugim .bashrc, .bash_profile, .profile ter podobne inicializacijske datoteke drugih lupin.
Ali se te datoteke zaženejo ob vsakem prijavi?+
Glede na datoteko in konfiguracijo lupine se izvajajo v interaktivnih sejah, sejah za prijavo ali v obeh.
Ali lahko napadalec spremeni te datoteke brez neposrednega dostopa do sistema?+
Praviloma je za to potreben dostop za pisanje v zadevni domači mapo, na primer prek dostopa do računa, pridobljenega že prej.

🔗 Sorodne teme

LanCologne – Forenzika v sistemu Linux, Köln

Potrebujete strokovno forenzično preiskavo na temo „Forenzična analiza datotek .bashrc in profilnih datotek"? LanCologne vam nudi podporo pri sodno veljavnem pridobivanju digitalnih dokazov ter pri pregledni analizi relevantnih artefaktov v sistemu Linux.

Stopite v stik zdaj