Ein verdächtiger Linux-Prozess läuft aus einer von der Platte gelöschten Binärdatei — ist die Spur weg?

Schadsoftware löscht ihre Datei oft direkt nach dem Start, in der Hoffnung, dass Responder die Platte prüfen, nichts finden und weiterziehen. Der Interviewer will hören, dass der laufende Prozess weiterhin einen Verweis auf die gelöschte Datei hält.

Was /proc/<pid>/exe liefert

Laut den Linux-man-pages ist /proc/<pid>/exe ein symbolischer Link auf die ausführbare Datei des Prozesses. Wurde der Pfad entfernt, zeigt das Ziel den ursprünglichen Pfad mit angehängtem (deleted). Dennoch lässt sich der Link laut Handbuch normal auflösen: Das Öffnen öffnet die ausführbare Datei. Mit cp /proc/<pid>/exe /evidence/sample.bin sichern Sie die Binärdatei, solange der Prozess lebt.

Reihenfolge der Reaktion

1. Prozess identifizieren (ls -l /proc/<pid>/exe mit (deleted) ist bereits ein starker Hinweis).
2. Datei kopieren und hashen, bevor etwas Destruktives geschieht.
3. Flüchtigen Zustand sichern (Speicher, offene Dateien, Verbindungen), dann den Host isolieren.
4. Kopie in einem isolierten Labor analysieren.

Warum die anderen Antworten scheitern

Prozess beenden oder neu starten vernichtet die einzige verbleibende Kopie. Die Annahme, Löschen entferne auch das Speicherabbild, ist der Mythos dieser Frage.

Was Interviewer erwarten

„Nicht weg — vor dem Beenden aus /proc kopieren“, dazu das Prinzip: flüchtige Beweise zuerst.