En el mundo de la ciberseguridad, uno de los métodos más utilizados por los atacantes para mantener el acceso a un sistema comprometido es el establecimiento de persistencia. Una de las técnicas que pueden aprovechar para este fin en sistemas Unix, especialmente en distribuciones livianas o dispositivos IoT, es la modificación de los scripts RC que se ejecutan durante el arranque del sistema.
¿Qué son los Scripts RC?
Los scripts RC (también conocidos como runcom scripts) son archivos de configuración utilizados en sistemas Unix y Linux para ejecutar comandos o iniciar servicios cuando el sistema arranca o cambia de nivel de ejecución (runlevel). Estos scripts son fundamentales para configurar el entorno de un sistema y para garantizar que servicios esenciales se inicien de forma automática.
El Riesgo de Abusar de los Scripts RC
Los adversarios pueden aprovechar la capacidad de modificar estos scripts para establecer persistencia en el sistema. Dado que los scripts RC se ejecutan con privilegios de root, cualquier comando o binario malicioso insertado en ellos se ejecutará automáticamente con los más altos privilegios al reiniciar el sistema, lo que les permite mantener el acceso de forma casi indefinida.
¿Cómo se Abusa de los Scripts RC?
Modificación de
rc.localy otros scripts de inicio: Los atacantes pueden modificar archivos comorc.local(en distribuciones basadas en Debian o Ubuntu) orc.commonen otros sistemas Unix. Añadir una ruta a un binario malicioso o comandos de shell en estos archivos les permitirá ejecutar código malicioso durante el arranque del sistema.El uso de binarios maliciosos: Al insertar binarios o scripts maliciosos en las rutas ejecutables, el atacante puede asegurarse de que su código se ejecute cada vez que el sistema se inicie.
Persistencia en sistemas IoT y distribuciones livianas: Este tipo de ataque es particularmente efectivo en sistemas IoT o distribuciones Unix ligeras, que a menudo tienen configuraciones predeterminadas que permiten que el usuario
rootejecute comandos sin restricciones. Estos sistemas, al ser más sencillos, no cuentan con mecanismos de defensa avanzados, lo que facilita la explotación de este vector de ataque.
El Cambio a Systemd y la Desactivación de los Scripts RC
A lo largo del tiempo, muchos sistemas Unix han migrado a Systemd, un sistema de inicio y gestor de servicios que ha reemplazado los tradicionales scripts RC. Systemd no depende de los archivos de inicio tradicionales, lo que dificulta su manipulación para establecer persistencia.
Además, macOS también ha descontinuado los scripts RC a favor de Launchd, un sistema de gestión de servicios que permite un control más granular sobre qué se ejecuta y cómo. Sin embargo, aún existen versiones antiguas de Mac OS X Panther v10.3 y versiones anteriores que permiten la ejecución de estos scripts, lo que podría dejar a los sistemas desactualizados vulnerables.
En algunas distribuciones modernas, como Ubuntu, aunque se utilicen sistemas como Systemd, los scripts RC pueden seguir siendo ejecutados si existen con los permisos adecuados. Esto significa que los atacantes aún pueden aprovechar configuraciones antiguas si no se toman las precauciones necesarias.
Impacto en la Seguridad
El abuso de scripts RC representa un grave riesgo de persistencia en sistemas comprometidos. Al ser ejecutados con privilegios de root, cualquier alteración en estos archivos puede dar a los atacantes un control casi absoluto sobre el sistema, permitiéndoles ejecutar código malicioso o incluso crear puertas traseras para futuros accesos.
¡Implementa estos consejos hoy y mejora la seguridad de tu servidor con nuestros servicios de mantenimiento!
Cómo Mitigar el Riesgo
Revisión de los scripts RC: Es fundamental realizar auditorías regulares de los archivos de inicio y de los scripts RC para asegurarse de que no se hayan insertado comandos maliciosos.
Desactivación de
rc.local: En sistemas modernos que ya utilizan Systemd, asegúrate de desactivar o eliminar el archivorc.localsi no es necesario, ya que este archivo es uno de los objetivos más comunes para los atacantes.Actualización de sistemas y servicios: Mantén el sistema y los servicios actualizados para evitar la ejecución de configuraciones obsoletas que puedan ser explotadas. Esto incluye la migración a tecnologías más seguras como Systemd y Launchd.
Uso de herramientas de monitoreo: Implementar herramientas de monitoreo que detecten modificaciones no autorizadas en los archivos de configuración, especialmente aquellos que se ejecutan al inicio del sistema, puede ser una capa de defensa adicional importante.
El abuso de scripts RC para establecer persistencia es una táctica utilizada por atacantes avanzados para comprometer sistemas de forma persistente. A medida que los sistemas operativos modernos han migrado a tecnologías como Systemd o Launchd, la amenaza ha disminuido en algunas plataformas, pero no ha desaparecido por completo. Los administradores de sistemas deben estar conscientes de los riesgos y aplicar las mejores prácticas para mitigar esta amenaza, asegurando que sus sistemas permanezcan seguros y protegidos frente a accesos no autorizados.
Temas que podrían interesarte:
Suscríbete a Nuestro Blog: Mantente actualizado con las últimas noticias y consejos en ciberseguridad. Suscríbete ahora.
