Linux恶意软件使用各种技术来隐藏检测。他们使用的一种方法是，通过让进程在ps清单中围绕进程名称显示（括号）来模拟内核线程。这样，管理员就可以很容易地忽略恶意进程。

使用 export PATH 可以让程序在本地目录运行而不用添加 ./ 前缀。然后拷贝 sleep 命令到/tmp目录并伪造成 [kworkerd] 进程名。

1

ps auxww | grep \\[ | awk '{print $2}' | xargs -I % sh -c 'echo PID: %; cat /proc/%/maps' 2> /dev/null

正常的内核进程maps内容为空的，伪装的内核进程是有内容标识的。

方法二： 检测 exe

1

ps auxww | grep \\[ | awk '{print $2}' | xargs -I % sh -c 'echo PID: %; sha1sum /proc/%/exe' 2> /dev/null

正常内核进程没有相应的二进制文件，恶意的内核进程有对应的二进制文件。