Un processus Linux suspect s'exécute depuis un binaire supprimé du disque — la preuve est-elle perdue ?

Un malware supprime souvent son propre fichier juste après son lancement, en espérant que les intervenants regardent le disque, ne trouvent rien et passent à autre chose. L'interlocuteur veut entendre que le processus en cours conserve un descripteur vers le fichier supprimé.

Ce que donne /proc/<pid>/exe

D'après les man-pages Linux, /proc/<pid>/exe est un lien symbolique vers l'exécutable du processus. Si le chemin a été supprimé, la cible affiche le chemin d'origine suivi de (deleted). Le manuel précise pourtant que le lien peut être déréférencé normalement : l'ouvrir ouvre l'exécutable. Ainsi cp /proc/<pid>/exe /evidence/sample.bin récupère le binaire tant que le processus est vivant.

Ordre de réponse

1. Identifier le processus (ls -l /proc/<pid>/exe affichant (deleted) est déjà un fort indice).
2. Copier l'exécutable et calculer son hash avant toute action destructrice.
3. Capturer l'état volatil (mémoire, fichiers ouverts, connexions), puis contenir l'hôte.
4. Analyser la copie dans un laboratoire isolé.

Pourquoi les autres réponses échouent

Tuer le processus ou redémarrer d'abord détruit la seule copie restante. Croire que la suppression efface aussi l'image en mémoire est le mythe visé ici.

Ce qu'attendent les recruteurs

« Pas perdu — on le copie depuis /proc avant de terminer le processus », avec le réflexe des preuves volatiles d'abord.