Синтезуйте результати Volatility (linux.pslist, linux.netstat, linux.malfind) для підтвердження ін'єкції коду. Яка ознака є вирішальною?

Question

Answer

Процес знаходиться у стані виконання та має ідентифікатор PID менше 100

Answer

Процес запускається з каталогу /usr/bin та оновлює бінарні логи wtmp

Answer

Процес має відкритий сокет (netstat) і містить ділянки пам'яті з правами PAGE_EXECUTE_READWRITE (malfind)

Answer

Процес не має батьківського PID та виконує читання файлу /etc/issue

Crowdly