lukeslp/redtail-iocIOC e una checklist di triage in sola lettura da un caso reale di compromissione root di Linux: miner RedTail, persistenza XorDDoS, miner MoneroOcean, LPE DirtyFrag (CVE-2026-43284/43500). CC0.
Indicatori di compromissione e uno script di triage da un server Linux che gestisco e che è stato bucato a luglio 2026. Non è stato un fallimento da élite. È stato un errore banale, ammesso pubblicamente perché la vergogna è più utile quando arriva con i log.
Non me ne sarei accorto se anche loro non avessero fatto un errore stupido (bloccandomi fuori da ssh, cosa che altrimenti forse non avrei notato). So quello che faccio in un certo numero di ambiti, ma ho poca esperienza qui. Ho dovuto consultare i robot. Fable non l'ha visto, ma Codex 5.5 ha trovato la compromissione in atto; una volta valutate insieme entrambe le soluzioni, c'erano alcune cose che tutti e tre avevano mancato (me compreso).
La parte utile è qui sotto: IOC, timestamp e una checklist in sola lettura per persone più brave di me. Quando succede una cosa del genere, adoro quando riesco a trovare qualcosa online, quindi eccolo qui.
Per tre minuti ho realizzato l'obiettivo della mia vita: impugnare due IA contemporaneamente per combattere qualcuno con i permessi di root! 🧙🏻♂️ Qualcuno lo dica al me dodicenne*
php-fpm: pool www di proprietà di root/etc/cron.hourly/gcc.sh, libudev.so, servizi finti)systemd-resolvd[kworker/0:2]Il resoconto completo, con la cronologia e come ho trovato ogni pezzo, è su lukesteuber.com/writing/redtail-compromise. Non sarà un granché, ma i tempi di tutta questa storia sono stati piuttosto interessanti; è stato come trovare un ladro in casa tua mentre cerca di tenere la porta chiusa, riuscire alla fine a staccargli le mani dallo stipite e cacciarlo via dalla tua proprietà. Per tipo due minuti.
Comunque.
iocs.txt: hash, IP C2 con contatti per gli abusi, pool e wallet Monero, artefatti del filesystem, travestimenti dei processi, CVE.check-my-box.sh: triage in sola lettura. Controlla gli indicatori specifici di questo incidente e non modifica nulla.curl -O https://raw.githubusercontent.com/lukeslp/redtail-ioc/main/check-my-box.sh
sudo bash check-my-box.sh
Un'esecuzione pulita non è la prova che sei al sicuro, e un riscontro positivo non è la prova che sei stato compromesso. In entrambi i casi, devi guardare più a fondo.
L'autenticazione SSH con password e il login come root erano abilitati. Le prove indicano un accesso tramite brute force e poi DirtyFrag per arrivare a root. Quella esposizione è stata colpa mia. Se trovi la stessa configurazione su una macchina di tua proprietà, trattala come urgente: disabilita l'autenticazione con password e l'SSH come root, ruota le credenziali e verifica dai log piuttosto che a memoria.
CC0. Pubblico dominio. Prendilo, fai un fork, integralo nelle tue rilevazioni. Correzioni e nuovi indicatori per queste famiglie sono ben accetti come issue o PR.
*non raccontargli il resto, amico. Da bambino l'IA mi faceva impazzire. Ora sono dei piccoli cacciatori di bug affamati e razzisti.