Hospital Security Harden — 3-Track Sprint Report

Sprint: hospital-security-harden-tracks-20260501
Date: 2026-05-01 KST 08:05 ~ 08:25 (~20min)
Owner: Claude (임시 CEO 권한)
Result: 9/9 task PASS + 1 부수 발견 (gate 활성 침입, 별도 sprint 필요)

---

1. 배경

hospital-xmrig-eradicate-20260501 sprint 회고에서 식별한 3 잔여 항목을 단일 sprint 3 트랙으로 병렬 처리.

---

2. T1 — 변조 감지 가드 보강 (auditd/inotify)

변경

• inotify-tools 설치 (auditd 대신 — 경량, systemd-friendly)
• /usr/local/bin/hospital-tamper-watch.sh (신규)
  • 11 path watch: /etc/ld.so.preload /etc/cron.d /etc/systemd/system /etc/passwd /etc/shadow /etc/sudoers /etc/sudoers.d /etc/ssh/sshd_config /root/.ssh/authorized_keys /opt/scripts/kill-miners.sh /usr/local/bin/anti-miner-guard.sh
  • events: modify, attrib, create, delete, move, move_self, delete_self
  • throttle: 같은 path:event 60초 중복 차단
• /etc/systemd/system/hospital-tamper-watch.service (신규, Type=simple, Restart=on-failure RestartSec=30)

검증

• service active (running) — Main PID 2850028
• TAMPER CREATE/ATTRIB/DELETE 3건 감지 ✅
• mco-bot {"success":true} × 3건 응답 ✅

결함 발견 + 정정

• 1차 설계: hospital → paperclip(139.180.195.48):22 SSH — paperclip SSH refused (port 22 closed 또는 외부 차단)
• 2차 정정: hospital → kahan(66.42.42.24):7405 SSH 직접 → kahan localhost mco-bot 호출
• 정정 후 알림 전송 PASS

---

3. T2 — 4서버 cron 통일

진단

서버	cron entry (전)	상태
kahan	*/5 * * * * root /opt/scripts/kill-miners.sh	✅ 표준
kahanclub	*/5 * * * * /usr/local/bin/anti-miner-guard	❌ 비표준 (root 누락 + 다른 binary)
gate	*/5 * * * * root /opt/scripts/kill-miners.sh	✅ 표준
stage8	*/5 * * * * root /opt/scripts/kill-miners.sh	✅ 표준
hospital	*/5 * * * * root /opt/scripts/kill-miners.sh; hospital-guard-alert.sh	✅ 표준 + alert

변경 (kahanclub만)

• /etc/cron.d/anti-miner-guard 표준화
  • 백업: .bak-pre-unify-20260501
  • 새 entry: */5 * * * * root /opt/scripts/kill-miners.sh
• 기존 /usr/local/bin/anti-miner-guard binary 보존 (다른 경로에서 호출 가능)

검증

• journalctl: kahan 23:05/23:10 UTC CRON (root) CMD (/opt/scripts/kill-miners.sh) 실 실행 ✅
• hospital 23:10 UTC anti-miner.service + cron 양쪽 정상 ✅
• gate/stage8/kahanclub miner-scan.log mtime 갱신 ✅

---

4. T3 — mco-bot Telegram endpoint 정정

진단

• mco-bot은 /api/* prefix routes 사용
• 실 Telegram 송신 endpoint: POST /api/blog with {"message": "..."} body
• sendToBlog(message) 호출 → Telegram bot API
• 이전 sprint의 POST /notify 404 원인 확정: endpoint가 존재하지 않았음

변경

• /opt/star365-hq/scripts/notify-mco-bot.sh (신규 helper)
  • 사용: notify-mco-bot.sh <tag> <message> 또는 stdin pipe
  • 흐름: paperclip → ssh kahan(7405) → curl localhost:4001/api/blog
  • JSON escape 자동 (jq 또는 python3)
• /opt/star365-hq/scripts/verify-xmrig-cycle-20260501.sh 정정
  • 기존 /broadcast 호출 → 새 helper 호출로 교체

검증

• 1회 실 송신: OK: {"success":true} ✅
• verify-xmrig-cycle.sh syntax OK ✅

---

5. 부수 발견 (별도 sprint 권고)

🚨 gate 서버 활성 침입 진행 중

시각 (KST)	위협
08:00	monero×2 / syssls×2 / javae×2 (8 threats)
08:05	xmrig×2 / monero×2 / syssls×2 / javae×2 / cryptonight×2 / randomx×2 / nullbyte×2 / card0-crtc (15 threats)
08:10	javae / nullbyte / kaluad (3 threats)

• 매 5분 boundary마다 새 spawn = dropper 본체 미제거된 무한 spawn cycle
• /root/.incident_auto/ 비어있음 (forensic 캡처 작동 미확인)
• gate = Gate.io 트레이딩 서버: gate-pair-hedge / gate-admin-dashboard / v7-self-evolve.timer 활성. 침입자 수익화 가능.
• 즉각 별도 sprint 권고 (이번 sprint scope 밖)

---

6. 안전 검증

안전 룰	결과
트레이딩 무중단	✅ gunja×3 + gate×2 active 유지
UFW 무변경	✅
DB DROP 0	✅
재부팅 0	✅
SSH 설정 변경 0	✅ (sshd_config 무변경, authorized_keys 무변경)

---

7. 검증 불가 (시간 의존)

• DC8 (이전 sprint) 다음 cycle 13:55 KST = 04:55 UTC — 미래
• 14:00 KST verify timer 실 trigger — 미래 (이번 sprint와 별개)
• gate 다음 5분 boundary 위협 추이 — 사용자 또는 별도 sprint에서 모니터

---

8. 메모리

• hospital-security-harden-tracks-20260501.md (이 sprint)
• 기존 hospital-xmrig-eradicate-20260501.md 보강 (mco-bot endpoint 정정)
• feedback_mco-bot-blog-endpoint.md (재사용 패턴)