Журнал «Хакер» опубликовал материал о том, как вредоносное ПО закрепляется в Linux-системах после первичного заражения. Основная цель малвари — сохранить доступ к машине даже после перезагрузки, выхода пользователя из учётной записи или принудительного завершения процесса через kill. Это называется persistence, и без него любой вредонос теряет контроль над системой при первой же перезагрузке.

Авторы разбирают, что первоначальный канал доступа почти всегда можно закрыть: сменить пароль, отозвать ключи, установить патч, закрывающий уязвимость. Поэтому атакующие заранее готовят механизмы, которые переживут эти меры и позволят вернуться в систему. Материал описывает несколько таких способов, характерных именно для Linux.

Среди классических приёмов — автозапуск через cron и systemd-юниты, модификация shell-профилей вроде bashrc и profile, а также правка системных сервисов. Отдельно упоминаются более скрытые методы: внедрение в загрузчик, подмена легитимных бинарников и хуки в динамических библиотеках. Каждый способ требует своего уровня привилегий, но многие работают и от обычного пользователя.

Контекст публикации — общий рост интереса к Linux как к цели: серверы, контейнеры и даже рабочие станции разработчиков всё чаще становятся жертвами. При этом стандартные средства защиты ориентированы на обнаружение запуска, а не на поиск уже закреплённых механизмов. Поэтому тема persistence для Linux долгое время оставалась менее освещённой, чем для Windows.

В финале статьи, судя по анонсу, разбираются способы обнаружения таких закладок и их удаления. Для администраторов это означает, что простой смены пароля и обновления пакетов недостаточно — нужно проверять автозапуск, юниты и целостность системных файлов. Без этого доступ атакующего может сохраняться месяцами.