Persistnux

Ein umfassendes Tool zur Erkennung von Linux-Persistenzmechanismen für Digital Forensics und Incident Response (DFIR)-Untersuchungen.

Übersicht

Persistnux ist ein Bash-basiertes Tool, das darauf ausgelegt ist, bekannte Linux-Persistenzmechanismen zu identifizieren, die von Angreifern genutzt werden, um den Zugriff auf kompromittierte Systeme aufrechtzuerhalten. Es führt umfassende Prüfungen im gesamten System durch und erstellt detaillierte Berichte im CSV- und JSONL-Format für die weitere Analyse.

Funktionen

• Umfassende Erkennung: Deckt alle wichtigen Linux-Persistenzmechanismen ab
• Live-Analyse: Läuft direkt auf Live-Systemen mit minimalen Abhängigkeiten
• Detaillierte Ausgabe: Erzeugt CSV- und JSONL-Berichte mit Datei-Hashes, Metadaten und Konfidenzwerten
• Root und Non-Root: Funktioniert mit oder ohne Root-Rechte (mit eingeschränktem Umfang für Nicht-Root)
• DFIR-bereit: Ausgabeformate kompatibel mit gängigen DFIR-Tools und Arbeitsabläufen
• Verdachtsscore: Automatische Konfidenzbewertung (NIEDRIG, MITTEL, HOCH, KRITISCH) basierend auf Indikatoren
• False-Positive-Reduzierung: Integration des Paketmanagers und Whitelisting bekannter, gutartiger Dienste
• Zeitbasierte Analyse: Kürzlich geänderte Dateien erhalten höhere Konfidenzwerte
• Mustererkennung: Erkennt Reverse Shells, Download-und-Ausführen-Muster, Verschleierungstechniken

Erkannte Persistenzmechanismen

1. Systemd-Dienste

• Servicedateien (.service) in /etc/systemd/system, /lib/systemd/system, /usr/lib/systemd/system
• Benutzerebene-Systemd-Dienste
• Filtert deaktivierte Dienste und Dienste ohne ExecStart heraus
• Erkennt verdächtige ExecStart-Befehle
• Überprüft die Paketintegrität ausgeführter Binärdateien/Skripte

2. Cron-Jobs & geplante Aufgaben

• System-Crontabs (/etc/crontab, /etc/cron.d/*)
• Periodische Ausführungsverzeichnisse (/etc/cron.{daily,hourly,weekly,monthly})
• Benutzer-Crontabs für alle Benutzer (Root-Modus)
• At-Jobs
• Verdächtige Befehlsmuster in geplanten Aufgaben
• /etc/cron.allow und /etc/cron.deny ACL-Dateien – Einträge, die auf nicht existierende Benutzer verweisen, werden markiert

3. Shell-Profile & RC-Dateien

• Systemweite Profile (/etc/profile, /etc/bash.bashrc, /etc/zshrc)
• Profile.d-Skripte (/etc/profile.d/*)
• Benutzerprofile (.bashrc, .bash_profile, .zshrc, .profile usw.)
• Fish-Shell-Konfigurationen
• Erkennt bösartige Befehle in Profildateien

4. Init-Skripte & RC.local

• /etc/rc.local und Varianten
• SysV-Init-Skripte (/etc/init.d)
• Runlevel-Skripte (/etc/rc*.d)
• Erkennt verdächtige Download/Ausführungsbefehle

5. Kernelmodule & Library Preloading

• LD_PRELOAD-Konfigurationen (/etc/ld.so.preload) – jede aufgeführte Bibliothek wird über den Paketmanager verifiziert
• Dynamische Linker-Konfigurationen (/etc/ld.so.conf, /etc/ld.so.conf.d/) – Konfigurationsdateiintegrität + nicht standardmäßige Pfad-.so-Dateien werden gescannt und verifiziert
• /etc/environment LD_PRELOAD/LD_LIBRARY_PATH – Umgebungsdatei wird als HOCH markiert; referenzierte Bibliothekspfade werden verifiziert (unverwaltet/modifiziert → KRITISCH)
• Kernelmodul-Parameter (/etc/modprobe.d/, /etc/modprobe.conf) – Dateiintegrität; install-Direktiven werden auf verdächtige Befehlsziele analysiert; blacklist von Sicherheitsmodulen (AppArmor, SELinux, seccomp) wird als HOCH markiert
• Kernelmodul-Autoload-Konfigurationen (/etc/modules, /etc/modules-load.d/) – Konfigurationsintegrität; referenzierte Modulnamen werden über modinfo zu .ko-Dateien aufgelöst und verifiziert
• Geladene Kernelmodule (lsmod) – Aufzählung und Integritätsprüfung

6. Zusätzliche Mechanismen

• XDG-Autostart-Einträge (.config/autostart, /etc/xdg/autostart) – alle Benutzerverzeichnisse werden im Root-Modus gescannt
• System-Umgebungsdateien (/etc/environment) – LD_PRELOAD/LD_LIBRARY_PATH-Bibliothekspfade werden verifiziert
• Sudoers-Konfigurationen und Drop-Ins (/etc/sudoers, /etc/sudoers.d/) – NOPASSWD/ALL-Muster → HOCH
• PAM (Pluggable Authentication Modules):
  • Alle .so-Module werden über den Paketmanager verifiziert; @include-Direktiven werden verfolgt; /etc/pam.conf wird einbezogen
  • pam_exec.so-Skriptanalyse – fehlende/verdächtige Skripte → KRITISCH
  • pam_python.so / pam_perl.so-Relay-Erkennung – Skript wird extrahiert und analysiert
  • pam_script.so-Hook-Dateierkennung in /etc/security/
  • Konfigurationsdateienintegrität – modifizierte paketbesitzende PAM-Konfigurationen → KRITISCH
  • pam_env.conf und ~/.pam_environment LD_PRELOAD-Bibliotheksverifizierung
  • /etc/security/ allgemeiner Scan
• MOTD-Skripte (/etc/update-motd.d/) – Paketüberprüfung; modifiziert → KRITISCH
• Git-Credential-Helper und core.pager-Einstellungen – Inhaltsanalyse für alle Benutzer
• Web-Shells in gängigen Web-Verzeichnissen

8. SSH-Persistenz

• Benutzerspezifische ~/.ssh/authorized_keys – kürzlich geänderte Schlüssel werden markiert; Inhalt der command=-Option auf verdächtige Muster analysiert
• Benutzerspezifische ~/.ssh/rc – Vorhandensein wird als MITTEL markiert; verdächtiger/Reverse-Shell-Inhalt → HOCH/KRITISCH

9. Binary Hijacking

• Überprüft installierte System-Binärdateien gegen die Paketdatenbank (dpkg -V auf Debian/Ubuntu, rpm -Va auf RHEL/CentOS)
• Modifizierte Dateien in /usr/bin, /usr/sbin, /bin, /sbin → KRITISCHER Fund
• Modifizierte PAM-Module in /lib/security → KRITISCHER Fund
• Conffiles (dpkg-Konfigurationsdateien) werden ausgeschlossen, um False Positives zu vermeiden

10. Bootloader & Initramfs

• GRUB init= Kernel-Parameter-Injection (/etc/default/grub, /etc/default/grub.d/*.cfg)
• Root-Level abgelegte Init-Skripte unter /
• Dracut-Initramfs-Module mit pre-pivot-Hooks, die in /sysroot/etc/shadow schreiben
• Ubuntu Initramfs-Tools-Hook-Skripte in /etc/initramfs-tools/scripts/ und /hooks/
• Kürzlich modifizierte /boot/initrd.img-*-Images (mtime-basiert)

11. Polkit (PolicyKit)-Manipulation

• .pkla-Dateien mit bedingungslosen ResultAny/ResultInactive/ResultActive=yes
• Wildcard-Identität (unix-user:*)-Gewährungen
• .rules-Dateien mit bedingungslosem polkit.Result.YES (JavaScript-basiertes Polkit >= 0.106)

12. D-Bus & NetworkManager

• Bösartige D-Bus-Systemdienst-Exec=-Registrierung (/usr/share/dbus-1/system-services/)
• D-Bus-Richtlinien-Wildcard allow own="*" oder send_destination="*"-Direktiven
• NetworkManager-Dispatcher-Skripte (/etc/NetworkManager/dispatcher.d/)

13. Udev-Regeln

• Udev RUN+=-Direktiven, die beliebige Befehle oder Skripte ausführen (/etc/udev/rules.d/, /lib/udev/rules.d/)
• Zur Laufzeit injizierte Regeln in /run/udev/rules.d/
• at/cron-Delegierungsmuster in RUN+= (häufige Umgehung von Vordergrundbeschränkungen)

14. Container Escape

• Privilegierte Docker-Container (--privileged, --pid=host)
• docker.sock-Bind-Mounts in Container (vollständige Host-Kontrolle über Docker-API)
• nsenter -t 1 in Container-Entrypoints oder Dockerfiles
• Dockerfiles in benutzerbeschreibbaren Verzeichnissen, die Escape-Techniken enthalten

15. Erweiterte Binär- & Privilegienprüfungen

• Aktiver SUID/SGID-Dateisystem-Scan über Systemverzeichnisse hinweg
• Dateifähigkeits-Scan über getcap – cap_setuid+ep auf GTFOBins → KRITISCH
• Binary Hijacking: umbenannte Originale (.original, .old, .bak, .real) mit Wrapper-Skripten
• Nicht-Root-Konten mit UID 0 in /etc/passwd
• Shell-Verschleierung durch nachgestellte Leerzeichen im Shell-Feld von /etc/passwd
• Systemkonten (UID 1-999) mit SSH authorized_keys-Dateien

Installation

# Repository klonen
git clone https://github.com/yourusername/persistnux.git
cd persistnux

# Skript ausführbar machen
chmod +x persistnux.sh

Verwendung

Grundlegende Verwendung (Live-Analyse)