Un logiciel malveillant exécuté par un utilisateur sans privilèges administrateur ou sudo peut-il endommager mon système? [fermé]

Après une récente intrusion sur une machine exécutant Linux, j'ai trouvé un fichier exécutable dans le dossier personnel d'un utilisateur avec un mot de passe faible. J'ai nettoyé ce qui semble être tous les dégâts, mais je prépare une lingette complète pour être sûr.

Que peuvent faire les malwares exécutés par un utilisateur NON-sudo ou non privilégié? Cherche-t-il simplement des fichiers marqués d'une autorisation accessible en écriture pour l'infection? Quelles choses menaçantes un utilisateur non administrateur peut-il faire sur la plupart des systèmes Linux? Pouvez-vous fournir des exemples de problèmes réels que ce type d'atteinte à la sécurité peut causer?

La plupart des utilisateurs normaux peuvent envoyer des e-mails, exécuter des utilitaires système et créer des sockets réseau en écoutant sur des ports supérieurs. Cela signifie qu'un attaquant pourrait

• envoyer des mails de spam ou de phishing,
• exploiter toute mauvaise configuration du système uniquement visible depuis l'intérieur du système (pensez aux fichiers de clés privées avec des autorisations de lecture permissives),
• mettre en place un service pour distribuer des contenus arbitraires (ex: torrent porno).

Ce que cela signifie exactement dépend de votre configuration. Par exemple, l'attaquant pourrait envoyer du courrier semblant provenir de votre entreprise et abuser de la réputation du courrier de vos serveurs; encore plus si des fonctionnalités d'authentification de messagerie comme DKIM ont été configurées. Cela fonctionne jusqu'à ce que le représentant de votre serveur soit entaché et que d'autres serveurs de messagerie commencent à mettre sur liste noire l'IP / domaine.

Dans tous les cas, la restauration à partir d'une sauvegarde est le bon choix.

La plupart des réponses ne contiennent pas les deux mots clés: élévation de privilèges .

Lorsqu'un attaquant a accès à un compte non privilégié, il leur est beaucoup plus facile d'exploiter les bogues du système d'exploitation et des bibliothèques pour obtenir un accès privilégié au système. Vous ne devez pas supposer que l'attaquant n'a utilisé que l'accès non privilégié qu'il a obtenu à l'origine.

Un rm -rf ~ou quelque chose de semblable serait assez catastrophique, et vous n'avez pas besoin de privilèges root.

Ransomware

Cela ne s'applique pas à votre situation, car vous l'auriez remarqué, mais pour les attaques de ransomwares quelque peu populaires de nos jours (chiffrement de tous vos documents et offre de vendre la clé de déchiffrement), il suffit complètement d'avoir un accès non privilégié.

Il ne peut pas modifier les fichiers système, mais généralement, la reconstruction d'un système à partir de zéro est simple par rapport à la récupération de données utilisateur précieuses (documents commerciaux, photos de famille, etc.) à partir de sauvegardes qui sont souvent obsolètes ou inexistantes.

Le plus courant (dans mon POV, d'après mon expérience):

• Envoi de spam

• Envoyer plus de spam

• Infecter d'autres ordinateurs

• Configurer les sites de phishing

• ...

Un virus peut infecter toutes les machines de votre réseau LAN et élever le privilège d'obtenir l'accès racine wiki-Privilege_escalation

L'escalade de privilèges consiste à exploiter un bogue, un défaut de conception ou une erreur de configuration dans un système d'exploitation ou une application logicielle pour obtenir un accès élevé aux ressources qui sont normalement protégées contre une application ou un utilisateur. Le résultat est qu'une application avec plus de privilèges que prévu par le développeur de l'application ou l'administrateur système peut effectuer des actions non autorisées.

Beaucoup de possibilités me viennent à l’esprit:

• Déni de service: il pourrait être sur votre machine ou plus probable, utilisez votre machine pour en attaquer une seconde au détriment de vos propres ressources.
• Mine de bitcoins. Utiliser votre CPU pour gagner de l'argent semble assez attrayant
• Si le navigateur est vulnérable, il essaiera de vous rediriger vers tous les types de sites, d'installer des barres ou d'afficher des fenêtres contextuelles qui leur procureront des revenus. Heureusement, cela semble plus difficile sous Linux ou les spammeurs ne sont pas aussi bons dans ce domaine.
• Obtenez des données privées pour une utilisation commerciale et vendez-les à d'autres. Uniquement pour l'utilisateur compromis: date de naissance, téléphone, s'il est dans le cache du navigateur.
• Accédez à d'autres fichiers du serveur qui sont lisibles.
• Créez des scripts malveillants qui pourraient demander le mot de passe root. Par exemple, dans votre bash, ils peuvent essayer de rediriger sudo vers d'autres choses pour obtenir votre mot de passe.
• Récupérez vos mots de passe stockés dans le navigateur ou essayez d'enregistrer vos identifiants bancaires. Cela pourrait être plus difficile mais certainement dangereux. Avec Gmail, ils peuvent obtenir Facebook, voler votre compte Steam, Amazon, etc.
• Installez des certificats malveillants valides pour votre utilisateur

Bien sûr, c'est un scénario pire, alors ne paniquez pas. Certains de ces éléments peuvent être bloqués par d'autres mesures de sécurité et ne seront pas du tout anodins.

Informations ^[1]

À mon humble avis, l'une des choses les plus effrayantes qu'un exploit puisse faire est de recueillir des informations et de rester caché pour revenir et frapper lorsque votre attention sera moindre (chaque nuit ou période de vacances conviendra).
Ce ne sont que les premières raisons qui me viennent à l'esprit, vous pouvez en ajouter d'autres et d'autres ...

• Informations sur les services que vous exécutez, leur version et leurs faiblesses, avec une attention particulière à celui obsolète que vous devrez peut-être maintenir en vie pour des raisons de compatibilité.
• Périodicité avec laquelle vous les mettez à jour et les correctifs de sécurité. S'asseoir devant un bulletin et attendre le bon moment pour essayer de revenir.
• Les habitudes de vos utilisateurs, pour lever moins de suspects quand il le sera.
• Les défenses que vous mettez en place.
• Si vous obtenez un accès root même partiel aux clés ssh , aux hôtes autorisés et aux mots de passe sur cette machine et d'autres pour chaque utilisateur (supposons que quelqu'un ait exécuté une commande avec le mot de passe passé en paramètre, il n'a même pas besoin du privilège root). Il était possible de scanner la mémoire et de l'extraire. Je le répète: dans les deux sens, vers votre machine et depuis votre machine. Avec une autorisation ssh bilatérale entre deux machines, ils peuvent continuer à rebondir dans et hors du compte compromis.

Aplatissez donc cette machine et surveillez les futurs mots de passe et clés, pour ces raisons ci-dessus et toutes les autres que vous pouvez lire dans les autres réponses.

^{[1] Citant pas littéralement Hitchcock: "Un coup de feu dure un instant mais une main brandissant une arme peut durer un film complet"}