Área 04

Persistencia

Quien entra quiere quedarse. Esta área relaciona cada ubicación habitual de persistencia en Linux con su ruta en disco, la forma de enumerarla en un sistema en vivo o en una imagen y la técnica MITRE ATT&CK correspondiente.

/etc/cron.d/
/etc/systemd/system/
/etc/ld.so.preload

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

04 · PersistenciaInglés

Hunting Linux Persistence: Cron, systemd, SSH and More

Where attackers hide persistence on Linux (cron, systemd units and timers, shell startup files, SSH keys, ld.so.preload, PAM, udev, modules) and how to find it.

persistencecronsystemd

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Cron, anacron, at y timers de systemd en LinuxArtefactos de tareas programadas en Linux (crontabs, sellos de anacron, trabajos at, timers de systemd) que revelan persistencia y prueban ejecuciones.
Unidades systemd: persistencia de servicios en LinuxServicios, timers y drop-ins de systemd, symlinks de activación, generadores y lingering: dónde se definen los servicios de Linux y cómo delatan persistencia.
Artefactos SSH: authorized_keys, known_hosts y logsArtefactos de OpenSSH en Linux (authorized_keys, known_hosts, configuración, claves de host, logs de sshd): accesos, persistencia y movimiento lateral.
/etc/ld.so.preload y LD_PRELOAD: secuestro del enlazadorEl archivo de precarga del enlazador dinámico, LD_PRELOAD y ld.so.conf: cómo los rootkits de usuario inyectan bibliotecas en cada proceso y cómo detectarlos.
Shell Startup Files: Linux bashrc and profile PersistenceSystem and per-user shell startup files (profile, bashrc, zshrc, logout) on Linux: load order, where attackers hide persistence and how to review them.
rc.local, SysV init.d and MOTD Scripts: Linux Boot HooksLegacy Linux boot and login script locations (rc.local, /etc/init.d, rc?.d links, Upstart jobs, update-motd.d) and how they reveal persistence.
Linux Kernel Modules: lsmod, Taint Flags and Boot ConfigLoaded and configured Linux kernel modules (/proc/modules, /sys/module, modules-load.d, modprobe.d, taint flags) for spotting rootkits and module persistence.
udev and USB Device History on LinuxReconstruct USB device connections on Linux from kernel, udisks and USBGuard logs, and check udev rules used for RUN+= persistence.
XDG Autostart .desktop Entries: Linux Desktop PersistenceXDG autostart entries in /etc/xdg/autostart and ~/.config/autostart that launch programs at every graphical login, plus KDE and X session hooks.
PAM Configuration and Modules: Linux Auth BackdoorsLinux PAM stacks in /etc/pam.d and the pam_*.so modules they load: where attackers plant password loggers and master passwords, and how to verify them.
SUID, SGID and File Capabilities: Linux Privilege BackdoorsSUID/SGID bits and file capabilities (security.capability) on Linux: how attackers plant root backdoors and how to baseline them against packages.
eBPF Programs and Pinned Maps: Linux Kernel ImplantsLoaded eBPF programs, pinned objects in /sys/fs/bpf and their loaders on disk: how eBPF rootkits and BPF backdoors hide on Linux and how to find them.
sysctl, Boot Parameters and binfmt_misc on LinuxLinux kernel settings in sysctl.d, /proc/sys and the boot command line: core_pattern and modprobe hijacks, weakened protections, ip_forward, binfmt_misc.
Web Shells in the Web Root: Finding Them on Linux ServersWhere Linux web roots live per distro, how PHP, JSP and CGI web shells and .htaccess or module backdoors look on disk, and how to date and hunt them.
/etc/hosts, nsswitch.conf and resolv.conf on LinuxLinux name resolution files as evidence: /etc/hosts redirects, resolv.conf and systemd-resolved DNS changes, and NSS module backdoors in nsswitch.conf.
logrotate State and Log Gaps: Detecting Linux Log Tamperinglogrotate configuration and state files on Linux: how rotation shapes what logs survive, how to tell normal rotation from deletion, and postrotate persistence.
cloud-init Logs and Instance Data: Linux Cloud VM Forensicscloud-init on Linux cloud VMs: cloud-init.log, output log, user-data, per-instance state and boot scripts that record provisioning, SSH keys and persistence.

Todas las áreas