Un proceso Linux sospechoso se ejecuta desde un binario borrado del disco: ¿se perdió la evidencia?

El malware suele borrar su propio archivo justo después de arrancar, con la esperanza de que los respondedores miren el disco, no encuentren nada y sigan adelante. El entrevistador quiere oír que el proceso en ejecución conserva un descriptor al archivo borrado.

Qué ofrece /proc/<pid>/exe

Según las man-pages de Linux, /proc/<pid>/exe es un enlace simbólico al ejecutable del proceso. Si la ruta fue desvinculada, el destino muestra la ruta original con (deleted) añadido. Aun así, el manual indica que el enlace puede dereferenciarse con normalidad: abrirlo abre el ejecutable. Así, cp /proc/<pid>/exe /evidence/sample.bin recupera el binario mientras el proceso vive.

Orden de respuesta

1. Identificar el proceso (ls -l /proc/<pid>/exe mostrando (deleted) ya es un indicio fuerte).
2. Copiar el ejecutable y calcular su hash antes de cualquier acción destructiva.
3. Capturar el estado volátil (memoria, archivos abiertos, conexiones) y luego contener el host.
4. Analizar la copia en un laboratorio aislado.

Por qué fallan las otras opciones

Matar el proceso o reiniciar primero destruye la única copia restante. Creer que borrar también elimina la imagen de memoria es el mito de este gotcha.

Qué buscan los entrevistadores

«No se perdió: se copia desde /proc antes de terminar el proceso», con la mentalidad de evidencia volátil primero.