Hospital Miner-Scan 오탐 근본 수정 — Sprint 보고서

작성: 2026-04-29 13:30 KST (임시 CEO 권한) 스프린트 ID: hospital-miner-scan-fp-fix 소요: ~25분 (Plan→Retro 7단계) 상태: ✅ COMPLETED

---

1. 발단

/var/log/miner-scan.log 4일치 분석:

• 진짜 위협 제거: xmrig (04-25 15:15), cryptonight (04-28 11:55) ✓
• 오탐 의심 6건: MINING-POOL-CONNECTION port=45700 으로 정상 서비스(docker-proxy / NestJS api-gateway / uvicorn / shop api node) PID kill 정황

2. 근본 원인

/opt/scripts/kill-miners.sh Section 7 — 3중 버그.

Bug	내용
#1	ss -tnp | grep ":$port " 가 Local·Peer 양쪽 매칭
#2	45700이 Linux ephemeral source port 범위 (32768~60999) 안 → 정상 outbound가 충돌
#3	정상 시스템 프로세스 화이트리스트 부재
#4	cron * * * * * (1분) + timer 5분 중복

3. 영향 범위 (5서버)

서버	v1 존재	과거 false positive 흔적	v2 적용
paperclip	—	—	— (본사)
hospital	✅	docker-proxy, api-gateway, uvicorn, shop api (4건)	✅
kahan	✅	(단순 로그 698B)	✅
kahanclub	✅	mco-bot, nginx worker kill 됨	✅
gate	✅	sshd 프로세스 kill 됨 (4-11)	✅
stage8	❌	—	⚠️ 미적용 (보안 갭, 별도 정기 sprint)

4. 수정 (v2.0, 133 lines)

Section 7 — 3중 보강

1. 45700 제거 (KNOWN_POOL_PORTS = 3333 4444 5555 8888 9999 14444 20142 33333)
2. Peer column 매칭 강화: ss -tnpH | awk '$5 ~ /:port$/'
3. Whitelist: docker-proxy, node, python3, uvicorn, nginx, postgres, systemd, containerd, sshd, redis, mysql, dockerd 등

부가 기능

• MINER_SCAN_DRY_RUN=1 → kill 없이 로그만
• MINER_SCAN_DEBUG=1 → WHITELIST-PROTECTED 로그 노출
• cron 4서버 모두 ≥5분으로 정정

회귀 안전

• Section 1~6, 8, 9 코드 완전 보존 (진짜 마이너 탐지 능력 유지)
• v1 fake xmrig 시뮬레이션 → v2 정확 탐지 ✓
• 라이브 kahanclub kaluad 진짜 위협 즉시 제거 ✓ (v2 첫 실행 동시 발견)

5. Done Criteria 검증 (9/9 PASS)

#	라벨	항목	결과
1	L2	hospital DRY_RUN 정상 서비스 0건 false positive	✅
2	L1	bash -n syntax 4서버 모두 OK	✅
3	L1	4서버 sha256 동일 (0058da62...)	✅
4	L2	fake xmrig 시뮬 → THREAT FOUND 탐지	✅
5	L1	4서버 백업 파일 kill-miners.sh.backup-20260429 존재	✅
6	L1	cron 1분 → 5분/10분 정정 (4서버)	✅
7	L3	4서버 v2 라이브 실행 후 MINING-POOL 신규 발생 0	✅
8	L2	hospital PM2 27/30 유지 (변경 없음)	✅
9	L1	/root/.incident_auto/ xmrig 9건 포렌식 보존	✅

6. 추가 발견 (포렌식)

/root/.incident_auto/ 격리 파일 분석:

• xmrig.{1777004400,1777104302}.96fc528c.quarantine — 8.33MB ELF, 4-24/4-25 격리
• systemd-logind.{7건}.fd11982f.quarantine — 8.28MB / Aug 11 2024 빌드 / ubuntu uid — 정상 systemd-logind 위장 마이너
• 침투 시점 추정: 2024년 빌드된 마이너가 ubuntu 사용자 권한으로 침투 → 2026-04-24~25 anti-miner-guard.sh가 격리

권장 후속:

• id ubuntu 점검, ubuntu 사용자 권한 축소
• SSH key audit
• 다음 정기 sprint에서 stage8에 v2 배포 (라이브 24h 안전기간 후)

7. 4서버 안전 점검

• 트레이딩: gate-pair-hedge / gunja-pair-hedge active 유지 ✓
• UFW: 변경 없음 ✓
• DB: 무관 ✓
• 재부팅: 없음 ✓
• hospital PM2: 27/30 (agency-api/web 별건은 무관, 변동 없음) ✓
• HQ 10/10 도메인: 변동 없음 ✓

8. 롤백

ssh root@<server> "cp /opt/scripts/kill-miners.sh.backup-20260429 /opt/scripts/kill-miners.sh"

9. 메트릭

• 변경 파일: 5 (4서버 kill-miners.sh + cron)
• 코드 라인: +133 / -109 (전체 재작성, 9 sections 보존)
• 백업 파일: 4
• 검증: DRY_RUN 1회 + 라이브 4서버 실행 (각 2회) + fake threat 1건 + 실 위협(kaluad) 1건 자동 탐지
• 의존 인프라 변경: cron 주기 1분→5분 (4서버)

---

🤖 Sprint 진행: 임시 CEO 권한, 사용자 확인 없이 끝까지, 7단계 누락 없이 완수