Bereich 04

Persistenz

Wer eindringt, will bleiben. Dieser Bereich ordnet jeden gängigen Linux-Persistenzort seinem Pfad auf dem Datenträger zu, zeigt die Auflistung am laufenden System oder im Image und nennt die passende MITRE-ATT&CK-Technik.

/etc/cron.d/
/etc/systemd/system/
/etc/ld.so.preload

Leitfäden in diesem Bereich

Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.

04 · PersistenzEnglisch

Hunting Linux Persistence: Cron, systemd, SSH and More

Where attackers hide persistence on Linux (cron, systemd units and timers, shell startup files, SSH keys, ld.so.preload, PAM, udev, modules) and how to find it.

persistencecronsystemd

28. Sept. 2026

Artefakt-Spickzettel

Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.

Cron, Anacron, at und systemd-Timer: Zeitplanung unter LinuxArtefakte geplanter Aufgaben unter Linux (Crontabs, Anacron-Stempel, at-Jobs, systemd-Timer), die Persistenz aufdecken und Ausführungen belegen.
systemd-Unit-Dateien: Dienst-Persistenz unter Linuxsystemd-Service-, Timer- und Drop-in-Dateien, Aktivierungs-Symlinks, Generatoren und Lingering: wo Linux-Dienste definiert sind und wie sie Persistenz verraten.
SSH-Artefakte: authorized_keys, known_hosts und sshd-LogsOpenSSH-Artefakte unter Linux (authorized_keys, known_hosts, Konfiguration, Host-Keys, sshd-Logs) als Beleg für Fernzugriff, Persistenz und Lateral Movement.
/etc/ld.so.preload und LD_PRELOAD: Linker-HijackingPreload-Datei des dynamischen Linkers, LD_PRELOAD und ld.so.conf: wie Userland-Rootkits Bibliotheken in jeden Prozess einschleusen und wie man sie erkennt.
Shell Startup Files: Linux bashrc and profile PersistenceSystem and per-user shell startup files (profile, bashrc, zshrc, logout) on Linux: load order, where attackers hide persistence and how to review them.
rc.local, SysV init.d and MOTD Scripts: Linux Boot HooksLegacy Linux boot and login script locations (rc.local, /etc/init.d, rc?.d links, Upstart jobs, update-motd.d) and how they reveal persistence.
Linux Kernel Modules: lsmod, Taint Flags and Boot ConfigLoaded and configured Linux kernel modules (/proc/modules, /sys/module, modules-load.d, modprobe.d, taint flags) for spotting rootkits and module persistence.
udev and USB Device History on LinuxReconstruct USB device connections on Linux from kernel, udisks and USBGuard logs, and check udev rules used for RUN+= persistence.
XDG Autostart .desktop Entries: Linux Desktop PersistenceXDG autostart entries in /etc/xdg/autostart and ~/.config/autostart that launch programs at every graphical login, plus KDE and X session hooks.
PAM Configuration and Modules: Linux Auth BackdoorsLinux PAM stacks in /etc/pam.d and the pam_*.so modules they load: where attackers plant password loggers and master passwords, and how to verify them.
SUID, SGID and File Capabilities: Linux Privilege BackdoorsSUID/SGID bits and file capabilities (security.capability) on Linux: how attackers plant root backdoors and how to baseline them against packages.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.
sysctl, Boot Parameters and binfmt_misc on LinuxLinux kernel settings in sysctl.d, /proc/sys and the boot command line: core_pattern and modprobe hijacks, weakened protections, ip_forward, binfmt_misc.
Web Shells in the Web Root: Finding Them on Linux ServersWhere Linux web roots live per distro, how PHP, JSP and CGI web shells and .htaccess or module backdoors look on disk, and how to date and hunt them.
/etc/hosts, nsswitch.conf and resolv.conf on LinuxLinux name resolution files as evidence: /etc/hosts redirects, resolv.conf and systemd-resolved DNS changes, and NSS module backdoors in nsswitch.conf.
logrotate State and Log Gaps: Detecting Linux Log Tamperinglogrotate configuration and state files on Linux: how rotation shapes what logs survive, how to tell normal rotation from deletion, and postrotate persistence.
cloud-init Logs and Instance Data: Linux Cloud VM Forensicscloud-init on Linux cloud VMs: cloud-init.log, output log, user-data, per-instance state and boot scripts that record provisioning, SSH keys and persistence.

Alle Bereiche