Por qué una cuenta root comprometida significa reconstruir el servidor, no limpiarlo.

Cada cuenta de un sistema Unix tiene una partida de nacimiento. Una línea en el registro de autenticación que anota quién la creó, cuándo y con qué herramienta. Una cuenta sin esa línea no se creó con ninguna herramienta. Se escribió, a mano, directamente en el fichero de usuarios. Cuando esa cuenta además tiene UID 0, la línea que falta no es un hueco en sus registros. Es la prueba.

UID 0 es un número, no un nombre

Root no es la cuenta que se llama root. Root es cualquier cuenta cuyo ID de usuario es 0. El kernel concede los privilegios por el número, y el nombre es decoración. Así que un backdoor no necesita tocar la cuenta root ni adivinar una contraseña. Necesita una línea más en el fichero de usuarios con un 0 en el tercer campo.

Dele a esa línea un nombre que difiera en un carácter del de un daemon legítimo del sistema y desaparece a plena vista. Una lista de usuarios es larga, los nombres son crípticos por diseño, y quien la repasa lee un daemon conocido, ligeramente mal escrito, y sigue adelante. El disfraz no es sofisticado. Solo tiene que sobrevivir a un vistazo.

# Root is a UID, not a name. List every account with UID 0.
awk -F: '$3 == 0 { print $1 }' /etc/passwd

# Exactly one line should come back: root. Any second line is a
# full-privilege account, whatever it calls itself.

Dos razones para seguir adelante. Las dos equivocadas.

A un buen responsable de la respuesta lo pueden hacer pasar de largo ante una cuenta root oculta dos observaciones razonables. Las dos son de esas que uno acepta con un gesto y sigue. Ninguna resiste una segunda mirada.

“Una sola comprobación automatizada no es una prueba. Confírmela con un análisis independiente.”

La cuenta sin partida de nacimiento

Cada cuenta creada con las herramientas estándar deja una línea en el registro de autenticación: creada por quién, cuándo, con qué comando. Una cuenta plantada no tiene ninguna. No una línea borrada, ninguna línea, porque el atacante nunca usó la herramienta. El hash de la contraseña se escribe a mano directamente en el fichero de usuarios, y por eso no hay nada que registrar.

Y se escribe en el fichero equivocado. En cualquier sistema Unix moderno el campo de contraseña del fichero de usuarios está delegado al fichero shadow. Contiene un marcador, nunca un hash real. Un hash auténtico en el fichero de usuarios no es una opción de configuración ni una rareza heredada que se pueda pasar por alto. Es la huella de una edición manual, y es un indicador por sí solo.

Sin línea de registro, la hora real de creación de la cuenta hay que reconstruirla a partir de fuentes indirectas: marcas de tiempo de ficheros y los rastros que otros eventos dejaron a su alrededor. La ausencia de partida de nacimiento no le impide establecer la hora del nacimiento. Solo significa que tendrá que trabajárselo.

# The password field in /etc/passwd should be a placeholder (x),
# never a hash. The real hash lives in /etc/shadow.
awk -F: '$2 != "x" && $2 != "*" && $2 != "!" { print $1 }' /etc/passwd

# A name that comes back here has its hash in the wrong file.
# That is a manual edit, not a managed account.

“Una cuenta UID 0 sin registro de creación no se creó. Se escribió.”

Cuando una actualización deja fuera al atacante por accidente

Lo más extraño de este modo de fallo es lo que puede hacerle una actualización automática rutinaria. Una actualización desatendida puede reescribir un hash plantado como efecto secundario y dejar al atacante fuera de su propio backdoor. La cuenta se queda. El acceso se pierde. El backdoor puede entonces permanecer latente indefinidamente: una puerta sin cerrar a una habitación cuya llave ya no gira. Eso parece seguridad. No lo es.

No lo limpie. Reconstrúyalo.

El cierre tentador es «borramos la cuenta mala, aplicamos el parche, listo». Recházelo. Acceso root durante cualquier intervalo, incluso uno que la suerte cerró después de golpe, significa que cada byte de esa máquina es ahora sospechoso: binarios, tareas cron, bibliotecas, y las mismas herramientas que usaría para inspeccionarla. No puede auditar su camino de vuelta a la confianza en un sistema cuyas herramientas de auditoría ya no son de fiar.

“Root durante un minuto es root hasta la reconstrucción. Esa máquina no se limpia. Se reconstruye desde un punto que pueda demostrar que estaba limpio.”