Fase de Inicialización del Sistema

El ciclo de vida de los procesos en un entorno tipo Unix comienza cuendo el kernel transfiere el control al gestor de inicialización. Este proceso raíz, comúnmente systemd o sysvinit con identificador PID 1, es responsable de orquestar los servicios del espacio de usuario y los demonios del sistema. A medida que estos componentes arrancan, la jerarquía de procesos comienza a ramificarse.

systemd (PID 1)
├── NetworkManager
├── cron
└── sshd (daemon principal)

Autenticación y Sesiones de Usuario

Al establecer una conexión remota segura, el servicio de autenticación genera un proceso dedicado para manejar la sesión. Tras validar las credenciales, se instancia un intérprete de comanods (shell) que se vincula a la pseudo-terminal (pty) asignada al usuario.

systemd (PID 1)
└── sshd (PID 842, daemon)
    └── sshd (PID 1024, sesión autenticada)
        └── zsh (PID 1025, intérprete interactivo)

Ejecución de Cargas Maliciosas y Bifurcación

Si un actor de amenazas logra ejecutar un binario comprometido desde la terminal interactiva, el sistema operativo asigna un nuevo bloque de control de proceso (PCB). Este nuevo proceso se convierte en un hijo directo del intérprete de comandos actual.

systemd (PID 1)
└── sshd (daemon)
    └── sshd (sesión)
        └── zsh (intérprete)
            └── backdoor_agent (PID 1080, carga útil)

Para establecer comunicaciones de comando y control (C2), mantener la persistencia o realizar tareas de exfiltración, el agente malicioso suele invocar llamadas al sistema como fork() o clone(). Esto expande la topología del árbol con nuevos nodos hijos o hilos de ejecución.

systemd (PID 1)
└── sshd (daemon)
    └── sshd (sesión)
        └── zsh (intérprete)
            └── backdoor_agent (carga útil)
                ├── netcat_listener (PID 1081, escucha inversa)
                ├── data_exfil (PID 1082, exfiltración)
                └── keylogger (hilo 1080.1)

Escalabilidad en Entornos Multiusuario

En servidores de producción o entornos compartidos, la topología de procesos refleja la concurrencia de múltiples identidades. El kernel garantiza el aislamiento mediante espacios de nombres y tablas de páginas de memoria independientes para cada proceso, evitando interferencias entre sesiones.

systemd (PID 1)
└── sshd (daemon)
    ├── sshd (sesión de alice)
    │   └── bash (intérprete de alice)
    │       └── htop (monitoreo de recursos)
    └── sshd (sesión de bob)
        └── fish (intérprete de bob)
            ├── docker_run (gestión de contenedores)
            └── tail_logs (análisis de registros)