Persistencia mediante cron.

Técnica de persistencia en Linux y Unix que utiliza cron, anacron o temporizadores de systemd para reejecutar código del atacante en un intervalo o evento del sistema. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Técnica de persistencia en Linux y Unix que utiliza cron, anacron o temporizadores de systemd para reejecutar código del atacante en un intervalo o evento del sistema.

La persistencia por cron (MITRE ATT&CK T1053.003) ataca al demonio cron de Unix y sus variantes (anacron, fcron, systemd-timer). Los atacantes añaden entradas en /etc/crontab, /etc/cron.d/, /etc/cron.{hourly,daily,weekly,monthly}/ o crontabs por usuario (crontab -e). Cargas habituales son reverse shells de una línea, descargas con curl o scripts en /tmp. Como cron se ejecuta como root o como el usuario propietario, la técnica es fiable y trivial tras el acceso inicial. Detección: monitorización de integridad de directorios cron, reglas auditd, baseline de trabajos esperados y alertas EDR sobre shells lanzadas por cron. Endurecimiento: limitar la pertenencia a crontab, montar /tmp con noexec y activar auditoría de systemd-cron cuando esté disponible.

Las defensas contra Persistencia mediante cron combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: Persistencia crontab, Persistencia anacron.