Etc passwd shadow forensics

Définition

L'analyse forensique des fichiers /etc/passwd et /etc/shadow est essentielle lors d'investigations sur des systèmes Linux compromis. Ces deux fichiers définissent les comptes utilisateurs du système et leurs informations d'authentification. Leur modification par un attaquant pour créer des portes dérobées (backdoor accounts) ou modifier des mots de passe est un indicateur classique de persistance. /etc/passwd liste tous les comptes du système dans un format texte délimité par des deux-points : username:password_placeholder:UID:GID:GECOS:home_directory:shell. Le champ password_placeholder contient 'x' si les hashs sont dans /etc/shadow (configuration moderne), ou le hash direct (ancien format). Un shell de connexion non standard (ex: /bin/bash pour un compte de service qui devrait utiliser /usr/sbin/nologin ou /bin/false) est suspect. Un UID 0 pour un compte autre que root est immédiatement suspect et indique une backdoor avec privilèges root. /etc/shadow stocke les informations d'authentification dans un format accessible uniquement par root : username:hashed_password:last_change:min_age:max_age:warning:inactive:expire:reserved. Les hashs de mots de passe incluent le préfixe de l'algorithme ($1$=MD5, $5$=SHA-256, $6$=SHA-512, $y$=yescrypt). Un compte avec un hash de mot de passe différent de celui documenté dans la gestion des mots de passe de l'organisation, ou un compte nouvellement créé pendant la fenêtre d'incident, est suspect. Pour la détection de backdoors, les points clés à vérifier incluent : les comptes créés après la date de dernier audit connu (champ last_change dans shadow, ou timestamps du fichier /etc/passwd), les comptes avec UID 0 autres que root, les shells de connexion inhabituels pour des comptes de service, les comptes verrouillés (!) dans shadow qui ont été déverrouillés, et les entrées dans /etc/sudoers ou /etc/sudoers.d/ accordant des droits sudo à des comptes inattendus. La comparaison avec une version de référence (baseline) de /etc/passwd et /etc/shadow (depuis une sauvegarde ou un autre nœud du cluster) révèle rapidement les modifications non autorisées.