Sinais de comprometimento no Linux

Uma conta extra com UID 0, uma porta estranha e um script gravável por todos. Lab de forense, nível intermediário, duração 30 min. Objetivo: Achar a conta com UID 0 além de root, a porta suspeita e o arquivo gravável por todos.