La escalada local de privilegios puede convertir un acceso limitado en control total de un sistema Linux. En lugar de depender únicamente de la firma de un exploit específico, los defensores pueden buscar comportamientos de ejecución que indiquen que un contexto de usuario normal ha alcanzado ejecución con privilegios root.
La fuente define una consulta de auditoría de Linux para este escenario.
La cobertura incluye CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 y otras vulnerabilidades de escalada local de privilegios.
Lógica de detección
La consulta requiere:
ID de usuario efectivo
0, que representa a root;ID de usuario de auditoría original que coincide con usuarios seleccionados distintos de root;
ejecución de un shell o intérprete, o un directorio de trabajo en una ubicación temporal o accesible desde la web.
Consulta de detección
rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))La fuente registró cero resultados durante los 30 días anteriores.
Por qué importa el contexto de usuario
Los procesos con privilegios root son normales en sistemas Linux. Lo importante es la relación entre los privilegios root efectivos y el contexto de usuario original.
Una cuenta de usuario estándar que de repente genera un shell de root desde /tmp o /dev/shm es más interesante que un servicio del sistema conocido que se ejecuta como root desde su ubicación habitual.
Flujo de investigación
Si aparece una coincidencia, revise:
usuario de auditoría original;
usuario efectivo;
ejecutable;
proceso padre;
directorio de trabajo actual;
línea de comandos;
actividad de sudo;
creación de archivos inmediatamente antes de la ejecución;
historial de autenticación.
Determine si la elevación fue una acción administrativa aprobada o un cambio de privilegios inesperado.
Ajuste
La consulta de la fuente enumera los ID de usuario de auditoría 1000, 1001 y 1002. En producción, estos valores deben adaptarse al entorno local.
Los flujos de trabajo de administradores conocidos que usan sudo pueden requerir líneas base explícitas, especialmente si ejecutan shells de forma legítima.
Correlación
Un evento de escalada de privilegios debe correlacionarse con:
ejecución de aplicaciones web;
archivos descargados sospechosos;
persistencia;
cambios en claves SSH;
reverse shells;
evasión de defensas.
Una cadena que va desde el acceso a una aplicación con pocos privilegios hasta la ejecución como root proporciona una evidencia sustancialmente más sólida.
Valor operativo
La fuente no registró coincidencias, por lo que se trata de una búsqueda de comportamiento de bajo volumen.
Al combinar la identidad del usuario, el privilegio efectivo, el tipo de ejecutable y el directorio de trabajo, la consulta ofrece una forma práctica de identificar ejecución root sospechosa en varias posibles técnicas de EoP local.
