В статье описывается нестандартный метод сокрытия процессов в Linux, не требующий загрузки модулей ядра или перехвата системных вызовов. Вместо сложных руткитных техник предлагается использовать штатную утилиту mount с флагом MS_BIND.

Обычно для маскировки процессов злоумышленники прибегают к LKM-модулям, которые модифицируют таблицу syscall или подменяют обработчики в файловой системе /proc. Эти методы требуют компиляции под конкретную версию ядра и оставляют после себя заметные артефакты.

Описанный подход использует монтирование bind, которое позволяет примонтировать пустую директорию поверх /proc. В результате стандартные утилиты вроде ps или top перестают видеть активные процессы, хотя ядро продолжает их выполнять.

Процедура выполняется без прав суперпользователя в случае наличия соответствующих capability, например CAP_SYS_ADMIN в контейнере. Для возврата видимости процессов достаточно размонтировать созданную точку монтирования.

Такой метод не оставляет следов в виде загруженных модулей и работает на любом ядре без перекомпиляции. Подобная техника может быть использована как для легитимного администрирования, так и для скрытия вредоносной активности.