execve 없이 ELF 실행하기: 커널 키링을 이용한 파일리스 기법
Fileless ELF Execution via Kernel Keyring
리눅스 커널 키링을 악용해 파일 시스템에 흔적을 남기지 않고 ELF 페이로드를 실행하는 기법이 공개됐다. add_key로 ELF 바이트를 커널 slab 메모리에 저장한 뒤, keyctl로 익명 매핑에 복사하고 revoke로 원본을 제거한다. execve나 execveat 없이 직접 점프해 실행하므로 /proc/self/fd에 파일 디스크립터가 남지 않고, VFS에 inode도 생성되지 않는다. 로더만 디스크에 남으며, /proc/self/exe의 (deleted) 표시를 피하기 위해 언링크를 생략하는 편이 은닉에 유리하다고 설명한다.
exec 호출이 없기 때문에 페이로드는 프로세스 시작 이벤트를 전혀 생성하지 않는다.