Kann Malware, die von einem Benutzer ohne Administrator- oder Sudo-Berechtigungen ausgeführt wird, meinem System schaden? [geschlossen]

Nach einem kürzlichen Einbruch auf einem Linux-Computer habe ich eine ausführbare Datei im Home-Ordner eines Benutzers mit einem schwachen Passwort gefunden. Ich habe alles aufgeräumt, was den Schaden zu bedeuten scheint, bereite aber zur Sicherheit ein vollständiges Abwischen vor.

Was kann Malware, die von einem Nicht-Sudo-Benutzer oder einem nicht privilegierten Benutzer ausgeführt wird, tun? Sucht es nur nach Dateien, die mit einer weltweiten, beschreibbaren Infektionserlaubnis versehen sind? Welche Bedrohungen kann ein Benutzer ohne Administratorrechte auf den meisten Linux-Systemen ausführen? Können Sie einige Beispiele für Probleme in der Praxis nennen, die durch diese Art von Sicherheitsverletzung verursacht werden können?

Die meisten normalen Benutzer können E-Mails senden, Systemdienstprogramme ausführen und Netzwerk-Sockets erstellen, die an höheren Ports empfangsbereit sind. Dies bedeutet, ein Angreifer könnte

• Spam- oder Phishing-Mails versenden,
• eine Systemfehlkonfiguration ausnutzen, die nur vom System aus sichtbar ist (denken Sie an private Schlüsseldateien mit zulässigen Leseberechtigungen),
• Einrichten eines Dienstes zum Verteilen von beliebigen Inhalten (z. B. Pornostrom).

Was genau dies bedeutet, hängt von Ihrem Setup ab. Der Angreifer könnte beispielsweise E-Mails senden, die so aussehen, als stammten sie von Ihrem Unternehmen, und die E-Mail-Reputation Ihres Servers missbrauchen. Dies gilt umso mehr, wenn Funktionen zur E-Mail-Authentifizierung wie DKIM eingerichtet wurden. Dies funktioniert, bis der Mitarbeiter Ihres Servers befleckt ist und andere Mailserver damit beginnen, die IP / Domain auf die schwarze Liste zu setzen.

In jedem Fall ist die Wiederherstellung von einem Backup die richtige Wahl.

Bei den meisten Antworten fehlen die beiden Schlüsselwörter: Eskalation der Rechte .

Wenn ein Angreifer Zugriff auf ein nicht privilegiertes Konto hat, ist es für ihn viel einfacher, Fehler im Betriebssystem und in den Bibliotheken auszunutzen, um privilegierten Zugriff auf das System zu erhalten. Sie sollten nicht davon ausgehen, dass der Angreifer nur den nicht privilegierten Zugriff verwendet hat, den er ursprünglich erhalten hat.

Ein rm -rf ~oder etwas Ähnliches wäre ziemlich katastrophal, und Sie benötigen keine Root-Rechte.

Ransomware

Es trifft nicht auf Ihre Situation zu, da Sie es bemerkt hätten, aber für die heutzutage populären Angriffe von Ransomware (Verschlüsseln aller Ihrer Dokumente und Anbieten des Verkaufs des Entschlüsselungsschlüssels) ist es völlig ausreichend, nicht privilegierten Zugriff zu haben.

Es kann keine Systemdateien ändern, aber im Allgemeinen ist das Neuerstellen eines Systems von Grund auf einfach, verglichen mit der Wiederherstellung wertvoller Benutzerdaten (Geschäftsdokumente, Familienbilder usw.) von Sicherungen, die häufig veraltet oder nicht vorhanden sind.

Am häufigsten (in meiner POV, aus meiner Erfahrung):

• Spam senden

• Senden Sie mehr Spam

• Andere Computer infizieren

• Richten Sie Phishing-Sites ein

• ...

Ein Virus kann alle Computer in Ihrem LAN-Netzwerk infizieren und die Berechtigung erhöhen, den Root-Zugriff wiki-Privilege_escalation zu erhalten

Die Eskalation von Berechtigungen ist die Ausnutzung eines Fehlers, eines Konstruktionsfehlers oder eines Konfigurationsfehlers in einem Betriebssystem oder einer Softwareanwendung, um erhöhten Zugriff auf Ressourcen zu erhalten, die normalerweise vor einer Anwendung oder einem Benutzer geschützt sind. Das Ergebnis ist, dass eine Anwendung mit mehr Berechtigungen als vom Anwendungsentwickler oder Systemadministrator vorgesehen, nicht autorisierte Aktionen ausführen kann.

Mir fallen viele mögliche Möglichkeiten ein:

• Denial-of-Service: Möglicherweise ist es auf Ihrem Computer oder wahrscheinlich, dass Sie Ihren Computer verwenden, um einen zweiten auf Kosten Ihrer eigenen Ressourcen anzugreifen.
• Meine Bitcoins. Die Verwendung Ihrer CPU für den Erhalt von Geld scheint attraktiv genug zu sein
• Wenn der Browser anfällig ist, wird er versuchen, Sie zu allen Arten von Websites umzuleiten, Leisten zu installieren oder Pop-ups anzuzeigen, mit denen Sie Einnahmen erzielen. Glücklicherweise scheint dies unter Linux schwieriger zu sein, oder die Spammer können das nicht so gut.
• Holen Sie sich private Daten für den kommerziellen Gebrauch und verkaufen Sie diese an andere. Nur für den kompromittierten Benutzer: Geburtsdatum, Telefon, wenn es sich im Browser-Cache befindet.
• Greifen Sie auf andere Dateien auf dem Server zu, die lesbar sind.
• Erstellen Sie böswillige Skripte, die möglicherweise nach dem Root-Passwort fragen. Beispielsweise versuchen sie in Ihrer Bash möglicherweise, sudo auf andere Dinge umzuleiten, um Ihr Passwort zu erhalten.
• Holen Sie sich Ihre gespeicherten Passwörter in den Browser oder versuchen Sie, Ihre Bankdaten zu speichern. Dies könnte schwieriger sein, wird aber sicherlich gefährlich sein. Mit Google Mail erhalten sie möglicherweise Facebook, haben Ihren Steam-Account gestohlen, Amazon usw.
• Installieren Sie schädliche Zertifikate, die für Ihren Benutzer gültig sind

Natürlich ist dies ein schlimmeres Szenario, also keine Panik. Einige davon werden möglicherweise durch andere Sicherheitsmaßnahmen blockiert und sind überhaupt nicht trivial.

Informationen ^[1]

Eine der erschreckendsten Möglichkeiten eines Exploits ist es, Informationen zu sammeln und versteckt zu bleiben, um zurückzukehren und zu zuschlagen, wenn Ihre Aufmerksamkeit nachlässt (jede Nacht oder Urlaubsperiode ist geeignet).
Das Folgende sind nur die ersten Gründe, die mir in den Sinn kommen, Sie können andere und andere hinzufügen ...

• Informationen zu den Dienstleistungen Ihnen ausgeführten , ihrer Version und ihren Schwächen, insbesondere zu den veralteten , die Sie möglicherweise aus Kompatibilitätsgründen am Leben erhalten müssen.
• Periodizität mit der Sie sie und die Sicherheitspatches aktualisieren. Um vor einem Bulletin zu sitzen und im richtigen Moment zu warten, um zu versuchen, wiederzukommen.
• Die Gewohnheiten Ihrer Benutzer, weniger Verdächtige zu erwecken, wenn es sein wird.
• Die Abwehrkräfte Sie eingerichtet haben.
• Wenn Sie auch nur einen Teil des Root-Zugriffs auf die SSH-Schlüssel , die autorisierten Hosts und die Passwörter auf diesem und anderen Computern für jeden Benutzer erhalten (nehmen wir an, jemand hat einen Befehl mit dem als Parameter übergebenen Passwort ausgeführt, es wird nicht einmal das Root-Privileg benötigt). Der Speicher konnte gescannt und extrahiert werden. Ich sage noch einmal: auf beide Arten, zu Ihrer Maschine und von Ihrer Maschine. Mit der zweiseitigen SSH-Autorisierung zwischen zwei Computern können sie weiterhin vom kompromittierten Konto ein- und aussteigen.

Machen Sie den Computer platt und überwachen Sie die zukünftigen Passwörter und Schlüssel, aus den oben genannten Gründen und all den anderen, die Sie aus den anderen Antworten ablesen können.

^{[1] Nicht wörtlich Hitchcock zitieren: "Ein Schuss einer Waffe dauert einen Moment, aber eine Hand mit einer Waffe kann einen ganzen Film aushalten "}