Yönetici veya sudo ayrıcalıklarına sahip olmayan bir kullanıcı tarafından çalıştırılan kötü amaçlı yazılımlar sistemime zarar verebilir mi? [kapalı]

Linux çalıştıran bir makineye son girdikten sonra, bir kullanıcının giriş klasöründe zayıf bir parola bulunan yürütülebilir bir dosya buldum. Hasar gibi görünen şeyleri temizledim, ancak emin olmak için tam bir silme hazırlıyorum.

NON-sudo veya ayrıcalıklı olmayan bir kullanıcı tarafından çalıştırılan kötü amaçlı yazılım ne yapabilir? Sadece bulaşabilir dünyaya yazılabilir izne sahip olan dosyaları mı arıyor? Yönetici olmayan bir kullanıcı çoğu Linux sistemlerinde hangi tehdit edici şeyleri yapabilir? Bu tür güvenlik ihlallerinin neden olabileceği gerçek dünya sorunlarından bazı örnekler verebilir misiniz?

Çoğu normal kullanıcı posta gönderebilir, sistem yardımcı programlarını çalıştırabilir ve daha yüksek bağlantı noktalarında dinleyen ağ yuvaları oluşturabilir. Bu, bir saldırganın yapabileceği anlamına gelir

• spam veya kimlik avı postaları göndermek,
• Yalnızca sistem içinden görülebilen herhangi bir sistem yanlış yapılandırmasından yararlanın (izin verilen okuma izinlerine sahip özel anahtar dosyaları düşünün),
• keyfi içeriği dağıtmak için bir servis kurun (örneğin porno torrent).

Bunun tam olarak anlamı, kurulumunuza bağlıdır. Örneğin, saldırgan şirketinizden gelen postaları gönderebilir ve sunucularınızın posta itibarını kötüye kullanabilir; DKIM gibi posta doğrulama özellikleri ayarlanmışsa daha da fazla. Bu, sunucunuzun temsilcisi etiketlenene ve diğer posta sunucuları IP / etki alanını kara listeye almaya başlayana kadar çalışır.

Her iki durumda da, yedekten geri yükleme doğru seçimdir.

Cevapların çoğunda iki anahtar kelime eksik: ayrıcalık artışı .

Bir saldırganın imtiyazsız bir hesaba erişimi varsa, sisteme ayrıcalıklı erişim elde etmek için işletim sistemindeki ve kütüphanelerdeki hataları kullanmaları çok kolaydır. Saldırganın yalnızca ilk başta elde ettikleri ayrıcalıklı erişimi kullandığını varsaymamalısınız.

Bir rm -rf ~veya benzeri bir şey felaket olur ve kök ayrıcalıklarına ihtiyacınız yoktur.

Ransomware

Sizin durumunuz için geçerli değildir, çünkü farketmişsinizdir, ancak günümüzde biraz ransomware saldırıları (tüm dokümanlarınızı şifrelemek ve şifre çözme anahtarını satmayı teklif etmek), ayrıcalıksız erişimin olması tamamen yeterlidir.

Sistem dosyalarını değiştiremez, ancak genellikle sistemi sıfırdan yeniden oluşturmak, çoğu zaman eski veya var olmayan yedeklemelerden değerli kullanıcı verilerinin (işletme belgeleri, aile resimleri vb.) Kurtarılmasıyla karşılaştırıldığında basittir.

En yaygın (POV'mda, deneyimimden itibaren):

• Spam gönderiliyor

• Daha fazla spam gönderiliyor

• Diğer bilgisayarlara virüs bulaştırmak

• Kimlik avı sitelerini ayarlayın

• ...

Bir virüs, LAN ağınızdaki tüm makinelere bulaşabilir ve kök erişimini elde etmek için ayrıcalıkları yükseltebilir wiki-Privilege_escalation

Ayrıcalık yükseltme, bir uygulama veya kullanıcıdan normalde korunan kaynaklara yüksek erişim sağlamak için bir işletim sisteminde veya yazılım uygulamasında bir hata, tasarım hatası veya yapılandırma gözetiminden yararlanma eylemidir. Sonuç olarak, uygulama geliştiricisi veya sistem yöneticisi tarafından tasarlanandan daha fazla ayrıcalıklara sahip bir uygulama yetkisiz eylemler gerçekleştirebilir.

Aklıma birçok potansiyel olasılık geliyor:

• Hizmet reddi: makinenizde veya daha muhtemel olabilir, kendi kaynaklarınız pahasına ikinci bir saldırıya geçmek için makinenizi kullanın.
• Mayın bitcoinleri. CPU'nuzu para almak için kullanmak yeterince çekici görünüyor
• Tarayıcı savunmasızsa, sizi her tür siteye yönlendirmeye, çubuk takmaya veya onlara gelir sağlayacak pop-up göstermeye çalışacaklardır. Sonunda Linux'ta bu zor görünüyor veya spam gönderenler bu konuda iyi değiller.
• Ticari kullanım için özel veriler alın ve başkalarına gönderin. Yalnızca tehlikeye giren kullanıcılar için: tarayıcı önbelleğinde ise doğum tarihi, telefon.
• Sunucudaki okunabilir diğer dosyalara erişin.
• Kök şifresini isteyebilecek kötü amaçlı komut dosyaları oluşturun. Örneğin, şifrenizde şifrenizi almak için sudo'yu diğer şeylere yönlendirmeye çalışabilirler.
• Saklanan şifrelerinizi tarayıcıda alın veya banka kimlik bilgilerinizi tuşlamaya çalışın. Bu daha zor olabilir ama kesinlikle tehlikeli olacak. Gmail ile facebook alabilir, buhar hesabınızı, amazon vb.
• Kötü amaçlı sertifikaları kullanıcılarınız için geçerli şekilde yükleyin.

Elbette bu daha kötü bir senaryodur, bu yüzden panik yapmayın. Bunlardan bazıları diğer güvenlik önlemleri tarafından engellenmiş olabilir ve önemsiz olmayacak.

Bilgi ^[1]

IMHO, bir istismarın yapabileceği en korkutucu şeylerden biri, bilgi toplamak ve dikkatinin daha az olacağı bir zamanda geri gelmek ve grev yapmak için saklı kalmaktır (her gece veya tatil dönemi uygun olacaktır).
Aklımda ortaya çıkan ilk nedenler şunlardır, diğerleri ve diğerleri ekleyebilirsiniz ...

• Çalıştığınız hizmetler , sürümleri ve zayıf yönleri hakkında bilgiler, uyumluluk nedenlerinden dolayı hayatta tutmanız gerekebilecek eski olanlara özellikle dikkat ederek.
• Onları güncellediğiniz periyodiklik ve güvenlik düzeltme ekleri. Bir bültene oturmak ve geri gelmek için doğru zamanı bekleyin.
• Kullanıcılarınızın alışkanlıkları , ne zaman olacağı konusunda daha az şüpheli olmak için.
• Savunmaları yukarı ayarlayın.
• Kısmi bir kök bile kazanılırsa, ssh-key'lere , yetkili ana makinelere ve bu ve diğer makinelerde bulunan şifrelere her kullanıcı için erişirse (diyelim ki bir parametre olarak geçirilen bir şifre ile root imtiyazına gerek yoktur). Belleği taramak ve çıkarmak mümkündü. Tekrar söylüyorum: her iki yönde de, makinene ve makinene. İki makine arasındaki 2 taraflı ssh yetkilendirmesiyle, tehlikeye atılan hesaptan girip çıkmaya devam edebilirler.

Bu nedenle makineyi düzleştirin ve yukarıda belirtilen nedenlerden ve diğer cevaplardan okuyabileceğiniz diğerlerinden dolayı gelecekteki şifreleri ve anahtarları izleyin.

^{[1] Tam anlamıyla değil Hitchcock'dan alıntı yapmak: "Silahın vurulması bir an sürer, ancak silah kullanan bir el tam bir film sürebilir"}