Persistnux

Uma ferramenta abrangente de detecção de persistência em Linux para investigações de Resposta a Incidentes e Forense Digital (DFIR).

Visão Geral

Persistnux é uma ferramenta baseada em bash projetada para identificar mecanismos conhecidos de persistência em Linux usados por atacantes para manter acesso a sistemas comprometidos. Ela realiza verificações abrangentes no sistema e gera relatórios detalhados nos formatos CSV e JSONL para análise posterior.

Funcionalidades

• Detecção Abrangente: Cobre todos os principais mecanismos de persistência em Linux
• Análise ao Vivo: Executa diretamente em sistemas ativos com dependências mínimas
• Saída Detalhada: Gera relatórios CSV e JSONL com hashes de arquivos, metadados e pontuações de confiança
• Root e Não-Root: Funciona com ou sem privilégios root (com escopo limitado para não-root)
• Pronto para DFIR: Formatos de saída compatíveis com ferramentas e fluxos de trabalho DFIR comuns
• Pontuação de Suspeição: Pontuação de confiança automática (LOW, MEDIUM, HIGH, CRITICAL) baseada em indicadores
• Redução de Falsos Positivos: Integração com gerenciador de pacotes e lista de permissões de serviços conhecidos como seguros
• Análise Baseada em Tempo: Arquivos modificados recentemente recebem pontuações de confiança mais altas
• Correspondência de Padrões: Detecta reverse shells, padrões de download-e-execução, técnicas de ofuscação

Mecanismos de Persistência Detectados

1. Serviços Systemd

• Arquivos de serviço (.service) em /etc/systemd/system, /lib/systemd/system, /usr/lib/systemd/system
• Serviços systemd no nível do usuário
• Filtra serviços desabilitados e serviços sem ExecStart
• Detecta comandos ExecStart suspeitos
• Verifica a integridade dos pacotes de binários/scripts executados

2. Cron Jobs e Tarefas Agendadas

• Crontabs do sistema (/etc/crontab, /etc/cron.d/*)
• Diretórios de execução periódica (/etc/cron.{daily,hourly,weekly,monthly})
• Crontabs de usuário para todos os usuários (modo root)
• At jobs
• Padrões de comando suspeitos em tarefas agendadas
• Arquivos ACL /etc/cron.allow e /etc/cron.deny — entradas referenciando usuários inexistentes sinalizadas

3. Perfis de Shell e Arquivos RC

• Perfis do sistema (/etc/profile, /etc/bash.bashrc, /etc/zshrc)
• Scripts Profile.d (/etc/profile.d/*)
• Perfis de usuário (.bashrc, .bash_profile, .zshrc, .profile, etc.)
• Configurações do Fish shell
• Detecta comandos maliciosos em arquivos de perfil

4. Scripts Init e RC.local

• /etc/rc.local e variantes
• Scripts init SysV (/etc/init.d)
• Scripts de runlevel (/etc/rc*.d)
• Detecta comandos suspeitos de download/execução

5. Módulos do Kernel e Pré-carregamento de Bibliotecas

• Configurações LD_PRELOAD (/etc/ld.so.preload) — cada biblioteca listada verificada via gerenciador de pacotes
• Configurações do linker dinâmico (/etc/ld.so.conf, /etc/ld.so.conf.d/) — integridade do arquivo de configuração + arquivos .so em caminhos não padrão verificados
• /etc/environment LD_PRELOAD/LD_LIBRARY_PATH — arquivo de ambiente sinalizado HIGH; caminhos de bibliotecas referenciados verificados (não gerenciado/modificado → CRITICAL)
• Parâmetros de módulos do kernel (/etc/modprobe.d/, /etc/modprobe.conf) — integridade do arquivo; diretivas install analisadas para alvos de comando suspeitos; blacklist de módulos de segurança (apparmor, selinux, seccomp) sinalizado HIGH
• Configurações de carregamento automático de módulos do kernel (/etc/modules, /etc/modules-load.d/) — integridade da configuração; nomes de módulos referenciados resolvidos para arquivos .ko via modinfo e verificados
• Módulos do kernel carregados (lsmod) — enumeração e verificação de integridade

6. Mecanismos Adicionais

• Entradas XDG autostart (.config/autostart, /etc/xdg/autostart) — todos os diretórios home de usuários verificados quando root
• Arquivos de ambiente do sistema (/etc/environment) — caminhos de bibliotecas LD_PRELOAD/LD_LIBRARY_PATH verificados
• Configurações sudoers e drop-ins (/etc/sudoers, /etc/sudoers.d/) — padrões NOPASSWD/ALL → HIGH
• PAM (Módulos de Autenticação Conectáveis):
  • Todos os módulos .so verificados via gerenciador de pacotes; diretivas @include seguidas; /etc/pam.conf incluído
  • Análise de scripts pam_exec.so — scripts ausentes/suspeitos → CRITICAL
  • Detecção de relay pam_python.so / pam_perl.so — script extraído e analisado
  • Detecção de arquivo hook pam_script.so em /etc/security/
  • Integridade do arquivo de configuração — configurações PAM modificadas pertencentes a pacotes → CRITICAL
  • Verificação de bibliotecas LD_PRELOAD em pam_env.conf e ~/.pam_environment
  • Varredura geral de /etc/security/
• Scripts MOTD (/etc/update-motd.d/) — verificação de pacote; modificado → CRITICAL
• Git credential helpers e configurações core.pager — análise de conteúdo para todos os usuários
• Web shells em diretórios web comuns

8. Persistência SSH

• ~/.ssh/authorized_keys por usuário — chaves modificadas recentemente sinalizadas; opção command= analisada para padrões suspeitos
• ~/.ssh/rc por usuário — presença sinalizada MEDIUM; conteúdo de reverse shell suspeito → HIGH/CRITICAL

9. Sequestro de Binários

• Verifica binários instalados do sistema contra o banco de dados de pacotes (dpkg -V no Debian/Ubuntu, rpm -Va no RHEL/CentOS)
• Arquivos modificados em /usr/bin, /usr/sbin, /bin, /sbin → achado CRITICAL
• Módulos PAM modificados em /lib/security → achado CRITICAL
• Conffiles (arquivos de configuração do dpkg) são excluídos para evitar falsos positivos

10. Bootloader e Initramfs

• Injeção de parâmetro do kernel init= no GRUB (/etc/default/grub, /etc/default/grub.d/*.cfg)
• Scripts init descartados no nível root em /
• Módulos initramfs do Dracut com hooks pre-pivot escrevendo em /sysroot/etc/shadow
• Scripts hook do initramfs-tools do Ubuntu em /etc/initramfs-tools/scripts/ e /hooks/
• Imagens /boot/initrd.img-* modificadas recentemente (baseado em mtime)

11. Manipulação do Polkit (PolicyKit)

• Arquivos .pkla com ResultAny/ResultInactive/ResultActive=yes incondicional
• Concessões de identidade curinga (unix-user:*)
• Arquivos .rules com polkit.Result.YES incondicional (Polkit >= 0.106 baseado em JavaScript)

12. D-Bus e NetworkManager

• Registro malicioso de serviço de sistema D-Bus Exec= (/usr/share/dbus-1/system-services/)
• Diretivas curinga de política D-Bus allow own="*" ou send_destination="*"
• Scripts do dispatcher do NetworkManager (/etc/NetworkManager/dispatcher.d/)

13. Regras Udev

• Diretivas Udev RUN+= executando comandos ou scripts arbitrários (/etc/udev/rules.d/, /lib/udev/rules.d/)
• Regras injetadas em tempo de execução em /run/udev/rules.d/
• Padrões de delegação at/cron em RUN+= (desvio comum de restrição de foreground)

14. Fuga de Contêiner

• Contêineres Docker privilegiados (--privileged, --pid=host)
• Bind-mounts de docker.sock em contêineres (controle total do host via API Docker)
• nsenter -t 1 em entrypoints de contêineres ou Dockerfiles
• Dockerfiles em diretórios graváveis por usuário contendo técnicas de fuga

15. Verificações Avançadas de Binários e Privilégios

• Varredura ativa do sistema de arquivos por SUID/SGID em diretórios do sistema
• Varredura de capacidades de arquivos via getcap — cap_setuid+ep em GTFOBins → CRITICAL
• Sequestro de binários: originais renomeados (.original, .old, .bak, .real) com scripts wrapper
• Contas não root com UID 0 em /etc/passwd
• Mascaramento de shell via espaço à direita no campo shell de /etc/passwd
• Contas de sistema (UID 1-999) com arquivos authorized_keys SSH

Instalação

# Clone o repositório
git clone https://github.com/seuusuario/persistnux.git
cd persistnux

# Torne o script executável
chmod +x persistnux.sh