Hospital 침해 인시던트 — 최종 보고서 v3 (2026-04-26)

상태: 모든 backdoor 격리 + RCE 통로 차단 + 검증된 가드 운영 + 정상 도메인 작동
대응자: Claude Code (임시 CEO 권한, /sprint v2 다중 단계)
총 sprint 시간: ~3시간 (1차 격리 17분 + 2차 backdoor hunting 1시간 + 3차 RCE 차단 1.5시간)

0. TL;DR

이번 침해는 THC group 도구 + 상용 RAT + GitHub deploy 통로 + Next.js Server Actions RCE 의 풀-스펙트럼 다단계 캠페인.

근본 원인: agency-web Next.js v15.1.0 (CVE-2025-29927 + npm audit critical 1·high 7·moderate 14) → /api/v1/* proxy → agency-api (port 10100) 안에서 child_process spawn → backdoor 박힘

해결:

agency-web/api 정지 (RCE 통로 차단)
nginx 12 conf에 x-middleware-subrequest 헤더 strip (CVE-2025-29927)
50+ IOC 격리 (THC 도구·sshd backdoor·apt hook·rootkit 등)
chattr +i 잠금 3곳 (재생성 차단)
kahanclub kill-miners.sh 1분 cron — 15:15 attacker xmrig 시도 6초 자동 차단 실증
SSH from= IP 제한 (kahan/paperclip만)
github-actions-deploy 키 disable + appleboy/ssh-action 워크플로 비활성화

1. 침입 통로 (확정)

Primary: agency-web Next.js RCE

Next.js v15.1.0 + critical 1, high 7, moderate 14 (총 22 vuln)
외부 HTTP → next-server (PID 1513932) → /api/v1/* proxy → agency-api → child_process.spawn → nohup sh /tmp/.e6d7461dc.sh
error log 증거: digest: 'L29wdC9hZ2VuY3kvLi4u' (base64 = 환경변수 dump), /tmp/xmrig: Permission denied (noexec 차단)

Secondary: GitHub Actions SSH deploy 통로

hospital /root/.ssh/authorized_keys의 github-actions-deploy 키 (다른 서버는 없음)
appleboy/ssh-action 사용 워크플로 3종 (legal/assistant deploy/scheduled)

다른 서버 안 침해 이유

kahan/kahanclub/gate/paperclip에 github-actions-deploy 키 없음
agency-web 같은 Next.js 앱 hospital 외 다른 서버에 없음
서버 크기/리소스 무관 — deploy 통로의 차이

2. 격리·차단 조치 (50+ IOC)

2.1 멀웨어 격리

IOC	정체
q9tcDR7k	UPX XMRig 변종 (8코어 풀로드)
terminate-engine 2.8MB	THC gs-netcat (toket)
accounts-helper 2.2MB	UPX RAT (auto-update, hide)
ksoftirqd ELF 8.3MB	kernel thread 위장
.libpam_sys.so + libkeyutils.so.1	ld.so.preload rootkit
THC 풀세트 7개 (blitz, gs_funcs, gs-mount, gs-sftp, terminate-helper, toket_*.so)	gsocket/toket DSO
.ed*.sh × 4	creds 탈취기 (POST 144.x/178.x/216.x)
/tmp/.n	Node.js reverse shell
XMRig configs × 2	RandomX, NEUGLOBALLY799911

2.2 sshd backdoor 제거

/etc/ssh/keys/authorized_keys (central@hospital-prod RSA 2개)
/etc/ssh/sshd_config.d/00-keys.conf (AuthorizedKeysFile 변조)
/root/.ssh/authorized_keys의 hospital-server 키 (매칭 priv key 부재)

2.3 systemd persistence 정지

terminate.service (9일 active running)
accounts-helper.service (Restart=always)
/root/.config/systemd/user/ksoftirqd.service

2.4 cron + apt hook 격리

/etc/cron.d/auto-upgrade → 빈 파일 + chattr +i 잠금
/etc/cron.daily/terminate → 빈 파일 + chattr +i 잠금
/usr/lib/security/ → 빈 디렉토리 + chattr +i 잠금
/etc/apt/apt.conf.d/50unattended-check

2.5 nginx CVE-2025-29927 패치 (12 conf)

365plus, agency, assistant, common, finance, hospital, iot, kahan, legal, pet, plus365, shop, sjdemo
각 location의 proxy_pass 직후 proxy_set_header x-middleware-subrequest "" 추가

3. 네트워크 IOC (7건)

IP / Host	포트	용도
47.239.60.142 (Alibaba)	33333	q9tcDR7k C&C
144.172.116.48	8080	creds exfil 1
178.128.41.3 (DigitalOcean)	8080	creds exfil 2
216.126.225.20	8080	creds exfil 3 (4/26 발견)
185.177.72.3	20024	reverse shell
62.60.246.210	443	XMRig pool, user `NEUGLOBALLY799911`
`0x1x2x3.top`	80	drive-by downloader

4. 가드 검증 (실증)

4.1 kill-miners.sh 1분 cron 작동 검증

[14:37:17] LOG-TAMPER-ALERT: /var/log/auth.log missing → 자동 복구
[14:37:17] LOG-TAMPER-ALERT: /var/log/syslog missing → 자동 복구
[14:59:04] CREDENTIAL HARVEST DIR REMOVED: /tmp/.e6d7461dc
[14:59:07] Removed 1 threats
[15:15:02] THREAT FOUND: xmrig PIDs=1825812   ← attacker 또 시도!
[15:15:08] Removed 1 threats                   ← 6초 만에 자동 차단 ✅

4.2 /tmp noexec 작동 (사용자 4/11 가드 효과)

attacker /tmp/xmrig 직접 실행 → Permission denied 차단
단 sh /tmp/.e*.sh 는 sh 인터프리터 통해 우회됨 (kill-miners.sh가 잡음)

4.3 chattr +i 잠금 (재생성 차단)

/etc/cron.d/auto-upgrade, /etc/cron.daily/terminate, /usr/lib/security/ 빈 파일/디렉토리 + immutable

5. 정상 작동 검증

영역	결과
paperclip 10 HQ 도메인	200 OK 모두 ✅
starium 6 도메인	assistant/finance/shop/legal/pet 307 ✅, agency 502 (정지 의도)
gate 트레이딩	gate-pair-hedge active, gate-admin-dashboard active ✅ (미접촉)
kahan 트레이딩	gunja-* systemd 동작 ✅ (미접촉)
hospital PM2	27/30 (agency 3개 정지 의도)
hospital Docker	34 컨테이너 (cadvisor 정지 의도)
hospital load 1min	0.50 (정상)
kill-miners.sh	1분 cron + attacker 차단 실증

6. 사용자 액션 (외부 콘솔 필요)

🚨 시급도 1: GitHub PAT 회전 (5분)

https://github.com/settings/tokens?type=beta
→ 현재 PAT (github_pat_11AEJ646Y0diRDw...) Revoke
→ 새 fine-grained 토큰 발급 (Contents:RW for meneco/*)
→ 토큰 알려주시면 paperclip + kahan 자동 적용

🚨 시급도 2: GitHub repo Secrets 회전

meneco/legal: DEPLOY_HOST, DEPLOY_USER, DEPLOY_SSH_KEY
meneco/assistant-platform: SSH_HOST, SSH_USER, SSH_PRIVATE_KEY

🚨 시급도 3: OAuth/API key 회전 (15분)

NAVER: https://developers.naver.com/apps → Client Secret 재발급
KAKAO: https://developers.kakao.com → Client Secret 재발급
GOOGLE: https://console.cloud.google.com/apis/credentials → RESET SECRET
GROQ: https://console.groq.com/keys → 기존 키 Delete + 새 키
새 값 알려주시면 PM2 environ + 컨테이너 .env 자동 갱신

🚨 시급도 4 (선택): 신규 hospital 빌드

잔존 메모리 backdoor 우려 시. /opt/agency 폐기 + GitHub fresh clone + npm audit fix --force + 코드 audit.

7. 안전 가드 준수

본 sprint 중 절대 건드리지 않은 것:

✅ 트레이딩 (kahan gunja-pair-hedge, gate-pair-hedge) — 미접촉 + 정상 작동 검증
✅ UFW / iptables / Docker network — 미접촉
✅ DB DROP / TRUNCATE — 미접촉
✅ hospital 재부팅 — 미접촉
✅ SSH 설정 — PasswordAuthentication no 일관 적용 + from= IP 제한 (보안 강화만)

시스템 변경 (정당 필요):

apt-get install --reinstall libkeyutils1 (rootkit 정상화)
npm audit fix /opt/agency (정지 상태)
nginx 12 conf 헤더 strip (CVE 패치)