El acceso inicial suele ser solo la primera etapa de una intrusión. Tras lograr ejecución en un servidor o endpoint, un atacante puede intentar crear un mecanismo que sobreviva a los reinicios, se reconecte más tarde o proporcione acceso continuado.
La fuente define una búsqueda de persistencia multiplataforma que cubre mecanismos comunes de Windows y Linux.
Mecanismos de persistencia de Windows
La parte de Windows monitoriza la ejecución de:
schtasks.exe;sc.exe;reg.exe;wmic.exe.
A continuación busca patrones de línea de comandos relacionados con la creación de tareas, adiciones al registro, ejecución, cambios en el ImagePath de servicios o actividad de RunOnce.
Monitorización de persistencia basada en archivos
La segunda parte utiliza la monitorización de integridad de archivos para identificar cambios en:
/etc/cron.d/;/var/spool/cron/;SSH
authorized_keys;inicio de Windows;
System32\Tasks.
Consulta de detección
(data.win.system.eventID:1 and data.win.eventdata.image:(*\schtasks.exe or *\sc.exe or *\reg.exe or *\wmic.exe) and data.win.eventdata.commandLine:(*create* or *add* or *run* or *ImagePath* or *RunOnce*)) or (rule.groups: syscheck and syscheck.event: (added or modified) and syscheck.path:(*/etc/cron.d/* or */var/spool/cron/* or */.ssh/authorized_keys or *\Start*Menu\Programs\Startup\* or *\System32\Tasks\*))
La fuente registró 509 resultados durante los 30 días anteriores.
Por qué la persistencia es difícil de detectar
Cada mecanismo de la consulta también tiene usos administrativos legítimos. Las tareas programadas ejecutan copias de seguridad y mantenimiento. Los servicios los crean las instalaciones de software. Las tareas cron respaldan las operaciones de Linux. Las claves SSH autorizadas pueden formar parte de la gestión normal de accesos.
El valor para la seguridad proviene de identificar cambios inesperados, no de tratar el mecanismo en sí como malicioso.
Flujo de investigación
Para cada coincidencia, revise:
proceso creador;
cuenta de usuario o de servicio;
línea de comandos exacta;
tarea, servicio, valor de registro, archivo cron o clave SSH de destino;
marca de tiempo en relación con otra actividad sospechosa;
rol del equipo;
si el objeto de persistencia llegó a ejecutarse después.
La persistencia creada inmediatamente después de un evento RCE o de un shell sospechoso debe recibir mayor prioridad.
Ajuste de la regla
Cree una línea base de tareas programadas, servicios, tareas cron y claves administrativas conocidos.
Luego céntrese en:
nombres nuevos;
rutas de ejecutables inusuales;
directorios con permiso de escritura para el usuario;
comandos codificados u ofuscados;
cuentas poco frecuentes;
ejecución fuera de las ventanas de cambio.
Evite excluir globalmente un mecanismo completo.
Oportunidades de correlación
Esta búsqueda puede combinarse con otras detecciones de la fuente, entre ellas:
ejecución de shell en el servidor web;
evasión de defensas;
reverse shells;
volcado de credenciales;
preparación de ransomware.
Una secuencia de ejecución inicial seguida de persistencia ofrece un relato del incidente mucho más sólido.
Valor operativo
La búsqueda de persistencia es útil porque puede revelar la actividad del atacante incluso después de que haya pasado el evento de explotación original.
Al monitorizar tanto los mecanismos de persistencia basados en comandos como los basados en archivos, los defensores pueden identificar intentos de convertir un acceso temporal en un control duradero.
