Gate "dropper 박멸" Sprint Report — 결론: dropper 부재, false positive 확정

Sprint: gate-dropper-eradicate-20260501
Date: 2026-05-01 KST 08:25 ~ 08:35 (~10min)
Owner: Claude (임시 CEO 권한)
Result: dropper 박멸이 아니라 자기참조 false positive 발견. 박멸 대상 없음. v3.2 가드로 5서버 영구 차단

1. Executive Summary

직전 sprint 후속 ("gate 매 5분 12+ threats spawn = 활성 침입 진행 중") 가설이 false positive로 정정됨.

근본 원인: kill-miners.sh 코드 안에 for pattern in xmrig monero syssls javae cryptonight ... 문자열이 cmdline에 그대로 노출 → pgrep -f xmrig 가 동시 실행 중인 다른 가드 스크립트 (kill-miners.sh sibling, anti-miner-guard.sh, hospital-guard-alert.sh 등)를 매칭 → THREAT FOUND log 양산.

gate에서는 추가로 /etc/cron.d/anti-miner-guard + /var/spool/cron/crontabs/root 중복 cron = 매 5분 boundary에 kill-miners.sh 2개 동시 실행 → 서로를 위협으로 매칭 → THREAT FOUND 12+ entries.

수정:

gate root crontab 중복 entry 제거
v3.2 자기참조 / sibling 가드 추가 (_is_self_or_sibling) — 5서버 동기화

검증: 8:20 / 8:25 / 8:30 KST cycle 3회 연속 위협 0건 + 트레이딩 (gate-pair-hedge / gate-admin-dashboard) active 유지.

2. 진단 결과 (gate)

침입 흔적 — 거의 없음 (정상)

항목	결과
/etc/ld.so.preload	없음 ✅
/root/.bashrc mtime	2024-04-22 (오래된 정상) ✅
/etc/profile.d 변조	0건 ✅
authorized_keys	3 keys (kahan-new-server / metaquant-2026 / paperclip-hq-2026) ✅
auth.log / syslog	15MB / 34MB 정상 (인멸 흔적 없음) ✅
/etc/systemd/system 의심 unit	0건 ✅
/etc/cron.d 의심 entry	0건 ✅
/tmp 의심 ELF	0건 (.v7h-ts = v7 timestamp 정상) ✅
격리 binary (/root/.incident_auto/)	0건 ✅

false positive 메커니즘

04:55:00 cron + 04:55:00 anti-miner.timer 동시 트리거
   ↓
kill-miners.sh A 실행 + (anti-miner-guard.sh B 또는 kill-miners.sh A')
   ↓
A의 pgrep -f "xmrig" 가 cmdline에 "for pattern in xmrig..." 포함된 B PID 매칭
   ↓
log: "THREAT FOUND: xmrig PID=<B의 PID>"
   ↓
v3.1 _is_kernel_thread 가드 통과 (B는 user-space)
   ↓
B 자체를 kill 시도 (race로 못 잡음)

3. 변경 사항

v3.1 → v3.2 (sha256 `5fc0380a` → `40e8e9f9`)

_is_self_or_sibling() 신규: cmdline에 kill-miners.sh / anti-miner-guard / anti-miner-precycle / tamper-watch / hospital-guard-alert / verify-xmrig-cycle / notify-mco-bot / miner-scan 매칭 PID skip
WHITELIST_RE 확장: /opt/gate/, /opt/gunja/, gate-pair-hedge, v7-self-evolve, v7-meta-evolve, gunja-pair-hedge, gunja-multi-tenant 추가
Section 2의 /tmp 실행파일 삭제 시 /tmp/.v7|/tmp/ta-lib|/tmp/snap 보호
모든 위협 분기에 _is_self_or_sibling 가드 통과 의무

gate cron 중복 정리

/var/spool/cron/crontabs/root 의 */5 * * * * /opt/scripts/kill-miners.sh ... 라인 삭제
/etc/cron.d/anti-miner-guard (root user 명시 + 표준 entry)만 유지

5서버 v3.2 동기화

서버	sha256 (이전)	sha256 (현재)
kahan	5fc0380a	40e8e9f9 ✅
hospital	5fc0380a	40e8e9f9 ✅
kahanclub	5fc0380a	40e8e9f9 ✅
gate	5fc0380a	40e8e9f9 ✅
stage8	5fc0380a	40e8e9f9 ✅

4. 검증

#	항목	결과
1	gate dropper 본체 위치	존재하지 않음 (12 항목 점검 0건)
2	v3.2 syntax 5서버	OK
3	v3.2 dry-run 5서버	OK
4	gate 8:20 cycle	위협 0건
5	gate 8:25 cycle	위협 0건
6	gate 8:30 cycle	위협 0건
7	hospital 8:30 cycle	위협 0건
8	gate-pair-hedge 유지	active
9	gate-admin-dashboard 유지	active
10	v7-self-evolve.timer	active (다음 05-02 00:00 KST)
11	hospital trading 무영향	hospital은 hospital tracking, gunja는 kahan
12	UFW / DB / 재부팅	0

5. 메모리 정정 (이전 sprint 결과 재평가)

정정 1: "hospital 24h 주기 xmrig 재출현"은 진짜 침입이 아닐 가능성 매우 높음

04-29 04:14 / 04-30 04:55 UTC = 5분 boundary = cron + anti-miner.timer 동시 실행 시점
격리 binary 9건 (xmrig BuildID 7957, systemd-logind 위장 BuildID 2460, ksoftirqd_fake.elf 등) = 04-23~25 진짜 침입 시 잡힌 것 (보존됨)
그러나 04-29 이후 "24h 주기" 패턴 = false positive

정정 2: hospital-xmrig-eradicate-20260501 sprint의 5-Layer 효과 재평가

L1 ld.so.preload immutable: 침입 시 hijack base 차단 — 여전히 의미 있음 ✅
L2 Restart 60s: inject window 차단 — 여전히 의미 있음 ✅ (단, dropper 부재면 효과 검증 어려움)
L3 v3.1 → v3.2: 자기참조 가드까지 포함 — 이번 sprint로 진화 ✅
L4 precycle cron: 04:50/04:55/05:00 UTC 3회. v3.2 자기참조 가드와 함께 작동 ✅
L5 (해제됨): logrotate 호환성 우선

정정 3: 14:00 KST verify-xmrig-cycle.timer 결과 해석

v3.2 적용 후 측정. 위협 0건이면 = "false positive 차단 PASS" (진짜 dropper 박멸 아님)
위협 발견되면 = 진짜 침입 (이번 sprint 가설 부분 정정)

6. 안전 검증

안전 룰	결과
gate-pair-hedge 무중단	✅ active 유지
gate-admin-dashboard 무중단	✅ active
v7-self-evolve.timer	✅ 정상 (다음 05-02 00:00 KST)
gunja-pair-hedge / multi-tenant	✅ active
UFW 무변경	✅
DB DROP 0	✅
재부팅 0	✅
SSH 설정 무변경	✅

7. 최종 메시지

이전 두 sprint(hospital-xmrig-eradicate / gate-dropper-eradicate)에서 "24h 주기 xmrig 재출현" / "gate 활성 침입"으로 보고했던 패턴은 자기참조 false positive가 본질이었다.

진짜 침입은 hospital 04-23~25 시점에 1회 있었고 (격리 binary 9건 보존), 그 후 모든 가드 스크립트는 서로를 위협으로 잡고 있었다.

v3.2 자기참조 / sibling / 트레이딩 화이트리스트 가드 5서버 배포로 영구 차단. 향후 진짜 침입 시에만 forensic 캡처 작동.

8. 잔여 (별도 결정)

anti-miner-precycle cron (04:50/04:55/05:00 UTC 3 entry) — v3.2 가드로 false positive 차단되지만 의미가 약해짐. 향후 cleanup sprint
14:00 KST verify-xmrig-cycle.timer — 그대로 두고 결과 받기 (v3.2 효과 검증)
hospital-tamper-watch.service — 정상 작동, 변조 시 mco-bot 알림. 유지
로그 보존 강화 — chattr +a 해제 후 변조 감지는 inotify-tools만. auditd 도입 검토 (별도 sprint)