dhclient hooked

[biometriayseguridad]

Hola, buenas noches.
Soy mega novato pero le dedico tiempo y leo mucho.
Tengo una duda...he analizado una imagen de memoria RAM con volatility de una máquina amazon Linux AMI release 2018.03, RedHat7.2.02.166 y me aparecía el proceso dhclient 2096 como "hooked", descriptor 4 y al analizar los logs me aparece dhclient 2016 con xmt solicit on eth0
He leído que el dhclient "enganchado" es legítimo a no ser que el proceso tenga código inyectado y no se si lo que pone en el log (dhclient 2016 con xmt solicit on eth0) es un indicio.
Alguna sugerencia?
Gracias por vuestro tiempo!! me veréis por aquí!