Одна команда mount --bind поверх /proc/31337 — и C2-агент исчез из ps, top, htop и lsof. SOC не обнаружил его 48 часов. Без LKM-модуля, без dmesg-алертов, без патчей ядра — только root и штатный mount.На внутреннем пентесте 2024 года после эскалации...
Скрытие процессов Linux через bind mount: от атаки до forensics-обнаружения
Источник: codeby.net