🔍 माइनर हंटर

लिनक्स सर्वर के लिए क्रिप्टो-माइनर डिटेक्शन, रिमूवल और हार्डनिंग टूलकिट।

वास्तविक घटना प्रतिक्रिया से निर्मित — उन माइनर्स का पता लगाता है जो रूटकिट तकनीकों का उपयोग करके ps, top, htop और btop से छिपते हैं।

---

📦 इंस्टॉलेशन

git clone https://gitlab.com/abdom.seada/security-checks.git
cd security-checks
sudo bash setup.sh

🔀 शाखा: master — यह टूलकिट master शाखा पर रहता है। अन्य सुरक्षा स्क्रिप्ट भविष्य में अलग-अलग शाखाओं पर जोड़ी जा सकती हैं।

---

⚙️ सेटअप

⚠️ क्लोन करने के तुरंत बाद एक बार setup.sh चलाएँ — इसे छोड़ना त्रुटियों का #1 कारण है।

sudo bash setup.sh

setup.sh स्वचालित रूप से सब कुछ संभालता है:

चरण	यह क्या करता है
✅ अनुमतियाँ	miner-hunter और सभी lib/*.sh स्क्रिप्ट पर chmod +x
✅ निर्देशिकाएँ	/var/log/miner_hunter/ और /var/lib/miner_hunter/ बनाता है (केवल रूट, 700)
✅ निर्भरताएँ	perf, mpstat, iptables, fail2ban, bc, strings की जाँच करता है — गायब को स्वचालित रूप से इंस्टॉल करता है
✅ स्व-परीक्षण	सब कुछ सही ढंग से जुड़ा है यह पुष्टि करने के लिए ./miner-hunter --version चलाता है

सेटअप सफल होने पर अपेक्षित आउटपुट:

✅ Setup complete — all checks passed!

  Next steps:
    sudo ./miner-hunter scan        # Safe read-only scan
    sudo ./miner-hunter full        # Scan → Kill → Harden

💡 यह क्यों आवश्यक है? लिनक्स किसी फ़ाइल को तब तक निष्पादित नहीं करेगा जब तक उसके पास +x फ़्लैग न हो। Git और SCP ट्रांसफ़र इसे हटा देते हैं। setup.sh सभी फ़ाइलों को एक बार में ठीक करता है — जिसमें lib/ मॉड्यूल भी शामिल हैं जिन पर मुख्य स्क्रिप्ट निर्भर करती है।

---

🚀 त्वरित प्रारंभ

sudo ./miner-hunter scan            # ✅ Safe — read-only, zero changes
sudo ./miner-hunter full            # ⚠️  Full pipeline: Scan → Kill → Harden
sudo ./miner-hunter scan --dry-run  # 👁️  Preview mode — shows what would happen

---

📋 कमांड और विकल्प

कमांड

कमांड	विवरण	सिस्टम में बदलाव करता है?
scan	पूर्ण डिटेक्शन स्कैन — छिपी प्रक्रियाएँ, CPU, नेटवर्क, स्थायित्व	✅ नहीं
kill	पहचाने गए माइनर्स को मारें, पूल IP को ब्लॉक करें, आर्टिफैक्ट हटाएँ	⚠️ हाँ
harden	घटना के बाद हार्डनिंग — SSH, फ़ायरवॉल, वॉचडॉग, इंटीग्रिटी बेसलाइन	⚠️ हाँ
full	चरणों के बीच पुष्टि संकेतों के साथ scan → kill → harden चलाता है	⚠️ हाँ
report	सबसे हालिया स्कैन रिपोर्ट प्रदर्शित करें	✅ नहीं

विकल्प

विकल्प	विवरण
-d, --dry-run	कोई बदलाव किए बिना सभी क्रियाओं का पूर्वावलोकन करें
-e, --evidence DIR	/root/miner_evidence_* के बजाय कस्टम निर्देशिका में साक्ष्य सहेजें
-h, --help	सहायता दिखाएँ
-v, --version	संस्करण दिखाएँ

---

🎭 केस परिदृश्य

वास्तविक दुनिया की स्थितियाँ और प्रत्येक में वास्तव में क्या चलाना है।

---

🔴 परिदृश्य 1 — "मेरा सर्वर CPU 100% पर है लेकिन top कुछ नहीं दिखाता"

यह क्लासिक रूटकिट लक्षण है। माइनर उपयोगकर्ता स्थान के उपकरणों से छिप रहा है लेकिन हार्डवेयर प्रदर्शन काउंटरों से नहीं छिप सकता।

# चरण 1: पहले एक सुरक्षित स्कैन चलाएँ — कुछ भी छूने से पहले पुष्टि करें कि वहाँ क्या है
sudo ./miner-hunter scan

यदि माइनर मौजूद है तो आप क्या देखेंगे:

🚨 [CRITICAL]  CPU anomaly: 97% user CPU but top shows max 2% per process
🚨 [CRITICAL]  perf detected 4 hidden threads consuming ~94% total CPU
🚨 [CRITICAL]  Active connection to 185.x.x.x:9200 (known mining port)
🚨 [CRITICAL]  Fake kernel thread PID=3421 NAME=[kworker/0:1] EXE=/tmp/.x/miner

# चरण 2: माइनर को मारें और उसके पूल को ब्लॉक करें
sudo ./miner-hunter kill

# चरण 3: सर्वर को इस तरह सख्त करें कि वह वापस न आ सके
sudo ./miner-hunter harden

---

🟡 परिदृश्य 2 — "मुझे लगता है कि मैं हैक हो गया हूँ लेकिन मुझे यकीन नहीं है"

आपने कुछ संदिग्ध देखा — असामान्य आउटगोइंग ट्रैफ़िक, एक क्रॉन जॉब जो आपने नहीं बनाया, एक अजीब नाम वाली प्रक्रिया — लेकिन आप निश्चित नहीं हैं।

# एक पूर्ण स्कैन चलाएँ — पूरी तरह से सुरक्षित, केवल-पढ़ने के लिए, शून्य परिवर्तन
sudo ./miner-hunter scan

# फिर संरचित रिपोर्ट पढ़ें
sudo ./miner-hunter report

/root/miner_evidence_*/report.txt पर रिपोर्ट प्रत्येक निष्कर्ष को गंभीरता के अनुसार वर्गीकृत करती है:

• [CRITICAL] प्रविष्टियाँ → तुरंत kill पर जाएँ
• [WARNING] प्रविष्टियाँ → कार्रवाई करने से पहले मैन्युअल रूप से समीक्षा करें
• खाली रिपोर्ट → सर्वर साफ दिखता है

---

🟠 परिदृश्य 3 — "मैंने माइनर को मैन्युअल रूप से मार दिया लेकिन वह बार-बार वापस आ रहा है"

माइनर के पास एक स्थायित्व तंत्र है — एक क्रॉन जॉब, systemd सेवा, PM2 प्रविष्टि, या शेल प्रोफ़ाइल बैकडोर जो इसे मारने के बाद फिर से जीवित कर देता है।

sudo ./miner-hunter scan

आउटपुट में इन्हें देखें:

⚠️  [WARN]     Suspicious cron entry: * * * * * /tmp/.x/update
🚨 [CRITICAL]  Malicious systemd service: /etc/systemd/system/update-check.service
🚨 [CRITICAL]  PM2 process 'app-worker' has 8432 restarts — likely miner respawn loop
🚨 [CRITICAL]  Shell profile backdoor detected in /root/.bashrc

# kill सभी स्थायित्व आर्टिफैक्ट को हटा देता है — सिर्फ चल रही प्रक्रिया को नहीं
sudo ./miner-hunter kill

# फिर वॉचडॉग स्थापित करने के लिए harden चलाएँ ताकि कुछ भी पुनर्जीवित होने पर आपको सचेत किया जाए
sudo ./miner-hunter harden

💡 kill के बाद, वॉचडॉग क्रॉन हर 5 मिनट में चलता है और /var/log/miner_hunter/watchdog_alerts.log में लॉग करता है — आपको तुरंत पता चल जाएगा कि कुछ वापस आया है।

---

🔵 परिदृश्य 4 — "मैं कुछ भी होने से पहले एक नए सर्वर को सख्त करना चाहता हूँ"

तैनाती से पहले सक्रिय हार्डनिंग — कोई माइनर नहीं, कोई घटना नहीं, बस चीजों को बंद करना।

# अकेले harden चलाएँ — scan या kill की आवश्यकता नहीं
sudo ./miner-hunter harden

यह करेगा:

• आपके SSH कॉन्फ़िगरेशन का ऑडिट करें और अनुशंसित सेटिंग्स प्रिंट करें
• सत्यापित करें कि fail2ban एक sshd जेल के साथ सक्रिय है
• /usr/bin अखंडता बेसलाइन बनाएँ (MD5 चेकसम — ताकि आप बाद में छेड़छाड़ किए गए बाइनरी का पता लगा सकें)
• एक क्रॉन वॉचडॉग स्थापित करें जो हर 5 मिनट में माइनर संकेतकों की जाँच करता है
• systemd सेवा के माध्यम से रीबूट पर किसी भी मौजूदा iptables नियमों को बनाए रखें

---

⚫ परिदृश्य 5 — "माइनर kill से बच गया — CPU अभी भी उच्च है"

kill के बाद, सत्यापन चरण रिपोर्ट करता है कि माइनर अभी भी चल रहा हो सकता है:

⚠️  MINER MAY HAVE RESPAWNED
CPU: 89% | Mining conns: 1
Firewall blocks are in place — miner can't reach pool
Consider a REBOOT or OS REINSTALL

# 1. फ़ायरवॉल ब्लॉक पहले से मौजूद हैं — माइनर अपने पूल तक नहीं पहुँच सकता
#    पुष्टि करें कि ब्लॉक सक्रिय हैं:
iptables -L OUTPUT -n | grep DROP

# 2. यह देखने के लिए दूसरा स्कैन चलाएँ कि क्या बच गया
sudo ./miner-hunter scan

# 3. प्रक्रिया को छिपाने वाले कर्नेल मॉड्यूल रूटकिट की जाँच करें
lsmod | grep -iE 'diamorphine|reptile|kovid|rootkit'

# 4. गैर-शून्य taint = आउट-ऑफ-ट्री कर्नेल मॉड्यूल लोड (रूटकिट संकेतक)
cat /proc/sys/kernel/tainted

यदि कर्नेल taint मान गैर-शून्य है या कोई ज्ञात रूटकिट मॉड्यूल दिखाई देता है — माइनर के पास कर्नेल-स्तरीय नियंत्रण है। इस बिंदु पर सबसे सुरक्षित मार्ग एक ज्ञात-स्वच्छ स्नैपशॉट से पूर्ण OS पुनर्स्थापना है।

---

🟣 परिदृश्य 6 — "मैं मैन्युअल रूप से स्कैन चलाए बिना निरंतर निगरानी चाहता हूँ"

harden के बाद, वॉचडॉग क्रॉन पहले से स्थापित है। इसके साथ काम करने का तरीका यहाँ है:

# अलर्ट लॉग को रीयल टाइम में देखें
tail -f /var/log/miner_hunter/watchdog_alerts.log

# पुष्टि करें कि वॉचडॉग क्रॉन जॉब पंजीकृत है
cat /etc/cron.d/miner-watchdog

# अपना बेसलाइन लेने के बाद से /usr/bin बाइनरी में बदलाव की जाँच करें
md5sum --check /var/lib/miner_hunter/usrbin_baseline.md5 --quiet

अंतिम कमांड से कोई भी आउटपुट का अर्थ है कि आपके बेसलाइन के बाद एक सिस्टम बाइनरी को संशोधित किया गया था — तुरंत जाँच करें।

---

🔬 यह क्या पता लगाता है

छिपी प्रक्रिया का पता लगाना