Fileless-ELF-Ausführung über den Linux-Kernel-Keyring
Fileless ELF Execution via Kernel Keyring
Der Artikel zeigt eine Technik, um eine ELF-Payload ohne Dateisystemzugriff und ohne execve auszuführen. Der Kernel-Keyring speichert die Bytes im Slab-Speicher, keyctl liest sie in eine anonyme Zuordnung, und ein manueller ELF-Loader springt direkt zum Entry-Point. Dadurch entstehen keine Dateideskriptoren und kein Inode im VFS. Der Autor demonstriert die Methode mit strace und erklärt, warum das Weglassen des Unlink-Schritts die Tarnung verbessert.
Ein Nachteil für uns ist, dass /proc/self/exe während der Ausführung der Payload (deleted) anzeigt, und dieses Suffix ist ein bekanntes Erkennungssignal, da Elastic, Falco usw. aktiv auf process.executable matchen, das auf (deleted) endet – also ist das Überspringen des Unlinks tatsächlich die bessere Wahl für die Tarnung.