Запуск ELF без файлов через keyring ядра Linux
Fileless ELF Execution via Kernel Keyring
Автор показывает, как выполнить ELF-пейлоад, не касаясь файловой системы и не вызывая execve. Пейлоад загружается в keyring ядра через add_key, затем копируется в анонимную память с помощью keyctl READ и REVOKE. Загрузчик вручную разбирает ELF, мапит сегменты и прыгает на точку входа, обнуляя регистры. В /proc/self/fd нет файловых дескрипторов, а execve не создаёт событий запуска процесса.
Единственным артефактом, когда-либо существовавшим на диске, был сам загрузчик.