Proc filesystem forensics

Définition

Le système de fichiers /proc (procfs) est un pseudo-filesystem Linux qui expose en temps réel des informations sur les processus en cours d'exécution et l'état du noyau. Pour les investigations forensiques sur un système Linux live, /proc est une mine d'informations sur l'état actuel du système que l'analyse du disque ne peut pas révéler. Pour chaque processus en cours d'exécution, /proc/[PID]/ expose : /proc/[PID]/exe (lien symbolique vers l'exécutable, révélant le chemin même si le fichier a été supprimé du disque — en lisant ce lien symbolique, on peut extraire le binaire d'un processus dont le fichier a été supprimé), /proc/[PID]/cmdline (ligne de commande complète, avec arguments null-séparés), /proc/[PID]/maps (les mappings mémoire du processus : bibliothèques chargées, sections anonymes suspectes), /proc/[PID]/fd/ (tous les descripteurs de fichiers ouverts avec leurs cibles, révélant fichiers et connexions réseau), /proc/[PID]/environ (variables d'environnement du processus, potentiellement avec des secrets ou des configurations C2), et /proc/[PID]/net/ (informations réseau : connexions TCP, UDP, sockets). La technique d'extraction du binaire d'un processus supprimé depuis /proc est précieuse : cp /proc/[PID]/exe /tmp/extracted_malware ; md5sum /tmp/extracted_malware. Si le lien /proc/[PID]/exe se termine par '(deleted)', le fichier original a été supprimé mais le processus continue de tourner avec le code en mémoire. Le binaire peut encore être extrait depuis /proc/[PID]/exe. /proc/net/ offre des informations réseau globales indépendantes des processus : /proc/net/tcp (connexions TCP avec états et adresses locales/distantes en hexadécimal), /proc/net/udp (connexions UDP), /proc/net/if_inet6 (interfaces IPv6). Ces informations complètent les connexions obtenues par netstat/ss. Pour la forensique des modules noyau (rootkits LKM), /proc/modules liste les modules chargés avec leurs adresses mémoire. Comparer avec lsmod pour détecter les rootkits qui cachent leurs modules en manipulant la liste des modules visible via les interfaces standard.