Sei lá, não gostei do texto. Todas as partes apresentadas são facilmente dete... · Spuko

Sei lá, não gostei do texto. Todas as partes apresentadas são facilmente detectáveis, e qualquer empresa séria com um mínimo de segurança se protege/detecta de tudo isso. O primeiro comando mesmo você consegue identificar através do stat no arquivo, por exemplo:

Access: 2020-01-01 12:00:00.000000000 -0300
Modify: 2020-01-01 12:00:00.000000000 -0300
Change: 2025-09-15 14:10:07.035502295 -0300
 Birth: 2025-09-15 14:09:23.711524241 -0300

Aqui você pode ver que o "Birth" do arquivo foi no dia 15 de setembro de 2025. Isso é algo que não dá para alterar. Quando você baixa um arquivo da internet, ele recebe o timestamp Birth atual do arquivo, não há como modificar isso. Assim que o arquivo entra no sistema, o sistema se encarrega de fazer esse timestamp.

Acredito que todos os cenários que você mostrou não se tratam de pentest, mas sim de alguém com acesso sudo tendo acesso a uma máquina e querendo fazer algo nela. Aí já não é pentest, é acesso sudo. Se a pessoa quer fazer algo malicioso tendo acesso sudo, existem várias formas mais eficazes.

Opa, cara entendo seus pontos, mas:

A premissa de que "qualquer empresa séria" possui um nível de maturidade em segurança capaz de detectar essas técnicas é desconectada da realidade. A grande maioria das empresas, incluindo muitas de grande porte, não possui um SOC 24/7, EDRs bem configurados, ou analistas dedicados a caçar ameaças. O "mínimo de segurança" para muitas ainda é um firewall e um antivírus tradicional.

As técnicas que apresentei não são destinadas a enganar uma equipe de forense digital especializada após o fato, mas sim a evitar a detecção inicial por sistemas automatizados e por administradores de sistemas sobrecarregados durante uma verificação de rotina. Um ps aux ou um ls -l são comandos executados centenas de vezes ao dia. O objetivo é se misturar ao ruído, não ser invisível.

Change Time é alterado quando se usa touch e é um forte indicador de manipulação. No entanto, quantos administradores, ao investigar um alerta, usam stat em cada arquivo suspeito? A primeira checagem é ls -l, que exibe o mtime. O comando touch -r é eficaz para burlar essa primeira camada de verificação visual.

Sobre ser um pentest, um pentest ou exercício de Red Team simula um ataque completo. Ele começa com a exploração de uma vulnerabilidade para obter acesso inicial (muitas vezes como um usuário de baixo privilégio, como www-data). Em seguida, vem a fase de pós-exploração, que inclui escalonamento de privilégios para obter root ou sudo. As técnicas descritas são exatamente o que um atacante faz DEPOIS de obter acesso sudo. O objetivo não é mais ganhar acesso, mas sim MANTER o acesso e operar sem ser detectado.

O que apresentei é sobre sutileza e longevidade. São métodos de baixo custo e baixo ruído para manter a presença em um sistema por semanas ou meses, observando, coletando informações e esperando o momento certo para agir