IT-forensik · Linux

Att forensiskt upptäcka LD_PRELOAD-manipulationer – avslöja manipulation av dynamiska bibliotek

Miljövariabeln LD_PRELOAD gör det möjligt att ladda egna dynamiska bibliotek före programmets standardbibliotek och därmed på ett målinriktat sätt skriva över eller manipulera dess funktionsanrop.

Begär en icke-bindande offert

Denna funktion, som egentligen är avsedd för felsökning och utveckling, missbrukas regelbundet för att manipulera systemverktyg så att de på ett målinriktat sätt döljer vissa processer, filer eller nätverksanslutningar.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi granskar LD_PRELOAD-konfigurationer på system- och användarnivå samt misstänkta, icke-standardmässiga bibliotek för att upptäcka tecken på riktad funktionsmanipulation och försök till döljande.

Typiska användningsområden

•Upptäckt av manipulerade systemverktyg
•Undersökning av dolda process- och nätverksaktiviteter
•Analys av userland-rootkit-tekniker
•Utvärdering av i efterhand installerade bibliotek
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en LD_PRELOAD-analys till

Efter säkerhetskopieringen registreras systemomfattande och användarspecifika LD_PRELOAD-konfigurationer samt refererade bibliotek. Misstänkta bibliotek kontrolleras med avseende på eventuella funktionsöverskrivningar för att identifiera möjliga manipulationer av standardverktyg såsom process- eller kataloglistningar.

Varför är LD_PRELOAD-analysen relevant ur ett kriminaltekniskt perspektiv?

En lyckad LD_PRELOAD-manipulation kan leda till att vanliga systemverktyg på det komprometterade systemet inte längre ger tillförlitliga resultat, till exempel genom att vissa processer tas bort från listorna.

Av denna anledning utförs en sådan analys i princip på en oberoende forensisk kopia, istället för att förlita sig på utdata från verktyg i det potentiellt komprometterade systemet självt.

Vanliga frågor

Vad var det ursprungliga syftet med LD_PRELOAD?+
För legitima ändamål såsom felsökning, profilering eller målinriktad överskrivning av enskilda biblioteksfunktioner under utvecklingen.
Hur upptäcker man ett missbruk?+
Genom att granska befintliga LD_PRELOAD-konfigurationer och analysera refererade bibliotek med avseende på atypiska funktionsöverskrivningar.
Varför räcker det ofta inte med att undersöka det befintliga systemet?+
Eftersom en lyckad manipulation kan just påverka de verktyg som skulle användas för undersökningen, vilket skulle kunna leda till förvrängda resultat.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell forensisk utredning av ämnet „Forensisk identifiering av LD_PRELOAD-manipulationer"? LanCologne hjälper er med att säkra digitala bevis på ett rättsligt hållbart sätt samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu