Lokale Rechteausweitung kann begrenzten Zugriff in die vollständige Kontrolle über ein Linux-System verwandeln. Anstatt sich nur auf eine bestimmte Signatur von Angriffscode zu verlassen, können Verteidiger nach Ausführungsverhalten suchen, das darauf hindeutet, dass ein normaler Benutzerkontext Root-Ausführung erreicht hat.

Die Quelle definiert für dieses Szenario eine Linux-Audit-Abfrage.

Die Abdeckung umfasst CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 und weitere lokale Schwachstellen zur Rechteausweitung.

Erkennungslogik

Die Abfrage erfordert:

• effektive Benutzer-ID 0, die root repräsentiert;

• ursprüngliche Audit-Benutzer-ID, die ausgewählten Nicht-Root-Benutzern entspricht;

• Shell- oder Interpreter-Ausführung oder ein Arbeitsverzeichnis in einem temporären oder webzugänglichen Speicherort.

Erkennungsabfrage

rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))

Die Quelle verzeichnete in den vorangegangenen 30 Tagen null Ergebnisse.

Warum der Benutzerkontext wichtig ist

Prozesse mit Root-Rechten sind auf Linux-Systemen normal. Entscheidend ist die Beziehung zwischen effektiven Root-Rechten und dem ursprünglichen Benutzerkontext.

Ein Standardbenutzerkonto, das plötzlich eine Root-Shell aus /tmp oder /dev/shm erzeugt, ist interessanter als ein bekannter Systemdienst, der von seinem normalen Speicherort aus als root läuft.

Untersuchungsablauf

Wenn ein Treffer erscheint, prüfen Sie:

• ursprünglicher Audit-Benutzer;

• effektiver Benutzer;

• ausführbare Datei;

• übergeordneter Prozess;

• aktuelles Arbeitsverzeichnis;

• Befehlszeile;

• sudo-Aktivität;

• Dateierstellung unmittelbar vor der Ausführung;

• Authentifizierungsverlauf.

Stellen Sie fest, ob die Rechteausweitung eine genehmigte administrative Maßnahme oder eine unerwartete Rechteänderung war.

Feinabstimmung

Die Quellabfrage listet die Audit-Benutzer-IDs 1000, 1001 und 1002 auf. In der Produktion sollten diese Werte an die lokale Umgebung angepasst werden.

Bekannte Administrator-Arbeitsabläufe mit sudo benötigen möglicherweise explizite Basislinien, insbesondere wenn sie legitim Shells ausführen.

Korrelation

Ein Ereignis zur Rechteausweitung sollte korreliert werden mit:

• Ausführung von Webanwendungen;

• verdächtige heruntergeladene Dateien;

• Persistenz;

• Änderungen an SSH-Schlüsseln;

• Reverse Shells;

• Umgehung von Schutzmaßnahmen.

Eine Kette vom Anwendungszugriff mit geringen Rechten bis zur Root-Ausführung liefert deutlich stärkere Belege.

Betrieblicher Nutzen

Die Quelle verzeichnete keine Treffer, was diese zu einer verhaltensbasierten Suche mit geringem Volumen macht.

Durch die Kombination von Benutzeridentität, effektiven Rechten, Typ der ausführbaren Datei und Arbeitsverzeichnis bietet die Abfrage eine praktische Möglichkeit, verdächtige Root-Ausführung über mehrere mögliche lokale EoP-Techniken hinweg zu erkennen.