Hospital xmrig 24h 재출현 박멸 — Sprint Report

Sprint: hospital-xmrig-eradicate-20260501
Date: 2026-05-01 (KST)
Owner: Claude (임시 CEO 권한)
Duration: ~75min (07:25–08:40 KST)
Result: 11/12 DC PASS + 1 PENDING (시간 검증) — 단, 후속 sprint(gate-dropper-eradicate-20260501)에서 본 sprint 가설 자체가 false positive 가능성 매우 높음으로 정정. 아래 §10 참조.

1. Executive Summary (2026-05-01 08:35 KST 정정)

처음 가설 (당시)

24h 주기로 hospital(45.63.121.251)에 xmrig 재출현 (04-29 04:14 / 04-30 04:55 UTC) → 5-Layer Defense-in-Depth로 inject window 차단.

가설 정정 (gate sprint 결과로)

두 발견 시각 모두 5분 boundary = /etc/cron.d/anti-miner-guard + anti-miner.timer 동시 실행 boundary와 정확히 일치
kill-miners.sh 코드 안에 for pattern in xmrig monero ... 패턴 문자열이 cmdline에 그대로 노출 → pgrep -f xmrig가 동시 실행 중인 다른 가드 sibling을 매칭 → THREAT FOUND xmrig 출력
즉 04-29~30 04:55 UTC "xmrig"는 진짜 dropper가 아니라 자기참조 false positive일 가능성 매우 높음
격리 binary 9건 (xmrig BuildID 7957 / systemd-logind 위장 BuildID 2460 / ksoftirqd_fake.elf) 은 04-23~25 진짜 침입 시 잡혀 보존된 것 — 그건 진짜
그 후 "24h 주기 재출현" = 자기참조 false positive

결과적 sprint 가치

박멸 대상은 없었으나 다음은 의미 있는 산출:

L1 ld.so.preload immutable + chattr +i: 향후 진짜 침입 시 hijack base 차단 ✅
L2 Restart 60s: assistant-api / pet-api-gateway 분당 60→1회 (98.3% 축소) — 실 안정성 개선 ✅
L3 v3.1 (5fc0380a) → 후속 sprint v3.2 (40e8e9f9)로 진화: _is_self_or_sibling 가드까지 포함하여 false positive 완전 차단 ✅
L4 precycle cron: v3.2 가드와 함께 정상 작동 ✅
~~L5 chattr +a~~ → 해제 (logrotate 호환성 우선)
부수: 4서버 v3.2 동기화 + stage8 신규 배포 + tamper-watch.service + notify-mco-bot.sh helper

inject window 측정값: 3분 관측 = 3회 → RestartSec=60s 정확 동작 → 매초 대비 ~98.3% 축소 (이전 99.7% 표현은 과장, 정정).

잠재 이슈 (이미 후속 sprint에서 처리)

~~chattr +a + logrotate 충돌~~ → hospital-security-harden-tracks-20260501 sprint에서 -a 해제 + tamper-watch.service 도입
~~4서버 cron entry 통일 안 됨~~ → hospital-security-harden-tracks-20260501 sprint에서 kahanclub 표준화
격리 변종 family 3종 확정: xmrig (BuildID 7957) + systemd-logind 위장 (BuildID 2460) + ksoftirqd_fake.elf (04-25 격리, BuildID 미확인). 즉 침입자 toolkit이 다양함. (격리물 보존 — 04-23~25 진짜 침입 흔적)
~~"gate 활성 침입" 가설~~ → gate-dropper-eradicate-20260501 sprint에서 false positive 정정

10. 후속 sprint와 가설 정정 chain

hospital-xmrig-eradicate-20260501 (이 sprint) — 5-Layer 구축
hospital-security-harden-tracks-20260501 — chattr +a 해제 + tamper-watch + cron 통일 + mco-bot endpoint 정정
gate-dropper-eradicate-20260501 — kill-miners.sh 자기참조 false positive 발견 → v3.2 가드 추가 → 본 sprint "24h 주기 xmrig 재출현" 가설 정정 + 5서버 v3.2 동기화

자세한 정정은 docs/04-report/gate-dropper-eradicate-20260501.report.md §5 참조.

부수 효과: 4서버 (kahan/kahanclub/gate/stage8) kill-miners.sh v2 → v3.1 동기화 + stage8 신규 배포 (이전 미설치). 4서버 dropper hash 매칭 0건 — hospital 한정 침입 확정.

2. 진단 결과 (확정 vs 미확정)

확정

04-25 14:13~14:37 침입자가 /var/log/auth.log /var/log/syslog /var/log/wtmp 0byte로 비움 (LOG-TAMPER-ALERT 시점)
/etc/ld.so.preload Birth 04-16 18:07, Modify 04-25 14:12 (0byte) — hijack base 잔존 흔적
격리 binary 9건: xmrig BuildID 7957 2건 (root) + systemd-logind 위장 BuildID 2460 7건 (ubuntu)
assistant-api (NRestarts 477k+) / pet-api-gateway (NRestarts 588k+) 매초 restart로 inject window 제공 중
/root/.bashrc, authorized_keys, system lib, SUID, docker container — 변조 없음 ✅
btmp brute force top: 213.209.159.159 (83), 2.57.121.112 (78), 45.148.10.121 (77) — fail2ban active

미확정

xmrig dropper의 명시적 위치 (cron/timer/at/profile/init.d/lib 전수 검사 — 단서 0)
04:55:01 cron boundary와 동시 spawn 메커니즘 (kernel-level 또는 외부 c2 trigger 의심)

3. 박멸 변경사항

Layer	파일/객체	변경
L1	`/etc/ld.so.preload`	삭제 + 빈 파일 재생성 + `chattr +i`
L2	`/etc/systemd/system/assistant-api.service`	`Restart=always→on-failure`, `RestartSec=10→60` (3분 관측 = 3회, 정확)
L2	`/etc/systemd/system/pet-api-gateway.service`	`Restart=always→on-failure`, `RestartSec=3→60` (3분 관측 = 3회, 정확)
L3	`/opt/scripts/kill-miners.sh`	v2 (`0058da62`) → v3.1 (`5fc0380a`)
L4	`/etc/cron.d/anti-miner-precycle`	04:50 / 04:55 / 05:00 UTC ps+ss snapshot
L5	`/var/log/auth.log` `/var/log/syslog`	~~`chattr +a`~~ → 2026-05-01 08:00 KST 사용자 승인 후 `-a` 해제 (logrotate 호환성 우선)

v3.1 핵심 추가:

_is_kernel_thread() — PPid=2 / cmdline 0byte / exe link 부재 → kernel thread skip (false positive 차단, 4서버 sweep 중 발견된 [kaluad] PID 464/462 정정)
_capture_forensic() — 위협 발견 시 status/cmdline/exe/cwd/environ/pstree/fd/ss/ancestor 자동 저장
Section 8 — /tmp /var/tmp /dev/shm 직접 exec ELF 탐지 (deleted 외)
모든 file 격리는 quarantine 복사 후 rm

4. 4서버 sync

서버	kill-miners.sh sha256	anti-miner cron	fail2ban
paperclip	(해당 없음 - HQ)	-	-
kahan	v2 `0058da62` → v3.1 `5fc0380a`	신규 등록 */5	active 1 jail
hospital	v2 `0058da62` → v3.1 `5fc0380a`	기존 + precycle 추가	active 4 jail
kahanclub	v2 `0058da62` → v3.1 `5fc0380a`	기존 그대로 */5	active 1 jail
gate	v2 `0058da62` → v3.1 `5fc0380a`	신규 등록 */5	미설치 ⚠
stage8	(없음) → v3.1 `5fc0380a`	신규 등록 */5	미설치 ⚠

5. Done Criteria 결과

#	Layer	결과	비고
DC1	L2	✅	lsattr `i` flag
DC2	L2	✅	systemctl show 검증
DC3	L2	✅	systemctl show 검증
DC4	L3	✅	NRestarts 5분 8/9 (매초→분당 1.7회)
DC5	L1	✅	sha256 `5fc0380a` + `_is_kernel_thread` 4회
DC6	L1	✅	precycle 3 entries + */5 anti-miner-guard
DC7	L2	✅	lsattr `a` flag
DC8	L3	⏳	13:55 KST cycle 검증 대기
DC9	L3	✅	gunja-pair-hedge / multi-tenant / sync-worker / gate-pair-hedge / gate-admin 모두 active, v7 timer 정상
DC10	L2	✅	UFW status diff 0
DC11	L3	✅	4서버 BuildID 7957/2460 hash 매칭 0건
DC12	L3	✅	Docker 34/35 running, PM2 27/30 online (agency 3 의도적 stop)

11 PASS / 1 PENDING (시간 검증)

6. 위반 / 안전 검증

안전 룰	결과
트레이딩 무중단	✅ gunja×3 + gate×2 active 유지
UFW 무변경	✅ ufw status diff 0
DB DROP 무	✅ DB 변경 0
재부팅 무	✅ 0회
4서버 영향	✅ kill-miners.sh 표준화만 (보안 강화), 트레이딩/DB/UFW/SSH 무관

7. 후속 작업

즉시 모니터 (사용자 또는 schedule agent)

2026-05-01 13:55 KST = 04:55 UTC: xmrig 미발생 시 박멸 확정. 발생 시 forensic snapshot 분석으로 dropper 추적.
- 검증 명령: ssh root@45.63.121.251 "tail -20 /var/log/miner-scan.log; ls -la /root/.incident_auto/forensic_*"

별도 sprint

gate / stage8 fail2ban 설치 (이번 sprint 범위 밖)
assistant-api / pet-api-gateway dist/main.js 빌드 fix (NestJS 빌드 이슈 무관 sprint)
kahanclub PID 464 / stage8 PID 462 [kaluad] kernel thread: false positive 정정 완료 (v3.1로 봉쇄), 추가 조치 불필요

8. 메모리 갱신

feedback_kernel-thread-false-positive.md — pgrep -f 패턴이 PPid=2 kernel thread를 잡는 함정. v3.1 가드 도입.
hospital-xmrig-eradicate-20260501.md — 본 sprint 결과
기존 hospital-miner-scan-fp-fix-20260429.md 보강 (v2→v3.1 진화)