Открытый канал ID 80357908280816

Киберразбор

Защита данных и цифровая безопасность: мошенничество, утечки, пароли и киберугрозы. Понятные разборы для работы и повседневной жизни.

Сотрудничество:
https://clck.ru/3WoVTa
Telega In - telega.in/m/channel_kiberrazbor

Россия

Публикации за период

По реакциям

Периоды «7 дней» и «30 дней» и вся лента — после бесплатной регистрации. Поиск, периоды длиннее 30 дней, сортировка по реакциям и свои даты — по подписке. Зарегистрироваться

Загрузка…

Хостинг-провайдер Beget признал потерю бэкапов.

Бинарные бэкапы VPS были безвозвратно утеряны, однако файловые резервные копии всего хостинга и облачной инфраструктуры удалось сохранить. Правда предоставить к ним доступ прямо сейчас Beget не может, поскольку серверы должны пройти проверку на наличие скрытых уязвимостей и вредоносных скриптов.

Следов скачивания данных пользователей, предварительно, не обнаружено. Но пароли и ключи лучше на всякий случай сменить.
Просмотры: 486
Перейти в пост Открыть в MAX Сообщить о неточности
PATH Hijacking, часть 2: как поймать подмену команды в Linux

👋 Приветствую в мире цифровой безопасности!

В прошлой части разобрали, как через $PATH можно заставить скрипт запустить чужой исполняемый файл. Но что делать, если подозрительный скрипт уже работает, а в вашей оболочке всё выглядит нормально?

⏺Сначала проверим окружение самого процесса. У systemd-сервиса или cron-задания $PATH может отличаться от того, что показывает терминал:

tr ‘\0’ ‘\n’ < /proc/PID/environ | grep ‘^PATH=‘

Так можно увидеть переменную окружения, переданную процессу при запуске. Но если скрипт изменил $PATH уже после старта, /proc этого не покажет.

⏺Проверим, что реально выполняется. Для воспроизведения подозрительного запуска подойдёт strace:

strace -f -e trace=execve,execveat \
-s 256 -o /tmp/exec.log ./backup.sh

В журнале будут видны попытки запуска исполняемых файлов, включая неудачные. Так можно заметить, что вместо ожидаемого /usr/bin/tar скрипт обращается к файлу из /opt/scripts или другого каталога.

⏺А если процесс уже работает? Можно проверить его текущий исполняемый файл:

readlink -f /proc/PID/exe

Но здесь есть нюанс: если скрипт запускает короткоживущие команды, поймать их через /proc сложно. Для постоянного наблюдения лучше использовать аудит execve через auditd или eBPF.

⏺Ищем причину, а не только следствие. Проверим права на подозрительный файл и каталоги по пути к нему:

namei -l /opt/scripts/tar

Команда покажет владельцев и права каждого компонента пути. Даже если сам tar защищён от записи, доступный посторонним родительский каталог может позволить заменить файл.

⏺И ещё момент: безопасный $PATH не спасёт, если злоумышленник может менять сам скрипт, его конфигурацию или каталог с исполняемыми файлами.
Просмотры: 603
Перейти в пост Открыть в MAX Сообщить о неточности
ВКонтакте Телеграм Одноклассники
Избранное в datool.ru

Следите за каналом в личном кабинете

Зарегистрируйтесь в datool.ru, чтобы добавить канал «Киберразбор» в избранное и отслеживать его показатели.

Зарегистрироваться
Для владельцев каналов

Подтвердите свой канал

Войдите или зарегистрируйтесь в datool.ru, затем добавьте нашего бота в канал по инструкции в личном кабинете. После проверки владения замок исчезнет и вам станет доступно управление каналом.

Войти или зарегистрироваться
Публикации канала

Сообщить о неточности

Опишите, что нужно исправить. Если есть источник, добавьте ссылку.

Вы покидаете datool.ru

Ссылка ведёт на внешний сайт. datool.ru не отвечает за его содержимое — проверьте адрес, прежде чем вводить пароли или платёжные данные.

Переход через 10 с

Перейти