Il malware gestito da un utente senza privilegi di amministratore o sudo può danneggiare il mio sistema? [chiuso]

Dopo una recente penetrazione su una macchina che esegue Linux, ho trovato un file eseguibile nella cartella home di un utente con una password debole. Ho ripulito quello che sembra essere tutto il danno, ma sto preparando una pulizia completa per essere sicuro.

Cosa può fare il malware gestito da un utente NON sudo o non privilegiato? Sta solo cercando i file contrassegnati con il permesso scrivibile dal mondo di infettare? Quali cose minacciose può fare un utente non amministratore sulla maggior parte dei sistemi Linux? Potete fornire alcuni esempi di problemi del mondo reale che questo tipo di violazione della sicurezza può causare?

Gli utenti più normali possono inviare posta, eseguire utility di sistema e creare socket di rete in ascolto su porte più alte. Questo significa che un attaccante potrebbe

• inviare mail di spam o phishing,
• sfruttare qualsiasi configurazione errata del sistema visibile solo dall'interno del sistema (si pensi ai file della chiave privata con permessi di lettura permissivi),
• impostare un servizio per distribuire contenuti arbitrari (ad es. porno torrent).

Cosa significa esattamente dipende dalla tua configurazione. Ad esempio, l'aggressore potrebbe inviare posta apparentemente proveniente dalla tua azienda e abusare della reputazione della posta dei tuoi server; ancora di più se sono state impostate funzionalità di autenticazione della posta come DKIM. Funziona fino a quando il rappresentante del tuo server non è contaminato e altri server di posta iniziano a inserire nella lista nera IP / dominio.

In entrambi i casi, il ripristino dal backup è la scelta giusta.

Alla maggior parte delle risposte mancano le due parole chiave: escalation di privilegi .

Uno che un utente malintenzionato ha accesso a un account senza privilegi, è molto più facile per loro sfruttare i bug nel sistema operativo e nelle librerie per ottenere un accesso privilegiato al sistema. Non dovresti presumere che l'attaccante abbia usato solo l'accesso non privilegiato che aveva originariamente ottenuto.

Una rm -rf ~o qualcosa di simile sarebbe abbastanza catastrofica, e non hai bisogno dei privilegi di root.

ransomware

Non si applica alla tua situazione, dal momento che l'avresti notato, ma per gli attacchi al giorno d'oggi un po 'popolari del ransomware (crittografia di tutti i tuoi documenti e offerta di vendita della chiave di decrittografia) è completamente sufficiente avere accesso senza privilegi.

Non è in grado di modificare i file di sistema, ma in genere ricostruire un sistema da zero è semplice rispetto al recupero di preziosi dati utente (documenti aziendali, foto di famiglia, ecc.) Da backup che spesso sono obsoleti o inesistenti.

Più comune (nel mio POV, dalla mia esperienza):

• Invio di spam

• Invio di più spam

• Infettare altri computer

• Installa siti di phishing

• ...

Un virus può infettare tutte le macchine della rete LAN ed elevare il privilegio per ottenere l'accesso root wiki-Privilege_escalation

L'escalation dei privilegi è l'atto di sfruttare un bug, un difetto di progettazione o una supervisione della configurazione in un sistema operativo o un'applicazione software per ottenere un accesso elevato alle risorse che sono normalmente protette da un'applicazione o da un utente. Il risultato è che un'applicazione con più privilegi di quelli previsti dallo sviluppatore dell'applicazione o dall'amministratore di sistema può eseguire azioni non autorizzate.

Mi vengono in mente molte potenziali possibilità:

• Denial of service: potrebbe essere sulla tua macchina o più probabile, usa la tua macchina per attaccarne una seconda a spese delle tue risorse.
• I miei bitcoin. L'uso della CPU per ottenere denaro sembra abbastanza interessante
• Se il browser è vulnerabile, proveranno a reindirizzarti verso ogni tipo di sito, installare barre o mostrare pop-up che daranno loro entrate. Fortunatamente questo sembra più difficile in Linux o gli spammer non sono così bravi in ​​questo.
• Ottieni dati privati ​​per uso commerciale e vendili ad altri. Solo per l'utente compromesso: data di nascita, telefono, se si trova nella cache del browser.
• Accedi ad altri file nel server leggibili.
• Crea script dannosi che potrebbero richiedere la password di root. Ad esempio, nel tuo bash potrebbero provare a reindirizzare sudo ad altre cose per ottenere la tua password.
• Ottenere le password memorizzate nel browser o provare a eseguire il keylog delle credenziali bancarie. Questo potrebbe essere più difficile, ma sicuramente sarà pericoloso. Con Gmail possono ottenere Facebook, rubare il tuo account Steam, Amazon, ecc.
• Installa certificati dannosi validi per il tuo utente

Naturalmente questo è uno scenario peggiore, quindi non fatevi prendere dal panico. Alcuni di questi potrebbero essere bloccati da altre misure di sicurezza e non saranno affatto banali.

Informazioni ^[1]

IMHO una delle cose più spaventose che un exploit può fare è raccogliere informazioni e rimanere nascosto per tornare e colpire quando la tua attenzione sarà inferiore (ogni notte o periodo di vacanza sarà adatto).
I seguenti sono solo i primi motivi che mi vengono in mente, puoi aggiungere altri e altri ...

• Informazioni sui servizi in esecuzione, sulla loro versione e sui loro punti deboli, con particolare attenzione a quello obsoleto che potrebbe essere necessario mantenere in vita per motivi di compatibilità.
• Periodicità con cui li aggiorni e le patch di sicurezza. Sedersi di fronte a un bollettino e attendere il momento giusto per provare a tornare.
• Le abitudini dei tuoi utenti, di sollevare meno sospetti quando sarà.
• Le difese che hai impostato.
• Se si ottiene anche un accesso root parziale alle chiavi ssh , agli host autorizzati e alle password su questa e altre macchine per ciascun utente (supponiamo che qualcuno abbia eseguito un comando con la password passata come parametro non è nemmeno necessario il privilegio di root). È stato possibile scansionare la memoria ed estrarla. Dico ancora: in entrambi i modi, alla tua macchina e dalla tua macchina. Con l'autorizzazione ssh fronte-retro tra due macchine possono continuare a rimbalzare dentro e fuori dall'account compromesso.

Quindi appiattisci quella macchina e monitora le password e le chiavi future, per questi motivi sopra e tutti gli altri che puoi leggere dalle altre risposte.

^{[1] Citando non letteralmente Hitchcock: "Un colpo di pistola dura un momento ma una mano che brandisce un'arma può durare un film completo"}