redtail-ioc

2026年7月に侵入された、私が運用しているLinuxサーバーからの侵害インジケータ(IOC)とトリアージスクリプトです。これは高度な技術による失敗ではありません。ログが付いてくるなら恥も役に立つので、公の場で認めることにした基本的なミスです。

彼らも愚かなミスを犯していなければ(sshから私を締め出したこと。そうでなければ私は気づかなかったかもしれません)、私はこれを検知できなかったでしょう。私はいくつかの面では自分が何をしているか分かっていますが、この分野での経験はほとんどありません。ロボット(AI)に相談せざるを得ませんでした。Fableは見逃しましたが、Codex 5.5が進行中の侵害を発見しました。両方のソリューションを合わせて評価したところ、3者全員(私を含む)が見逃した点もいくつかありました。

役に立つ部分は以下にあります:IOC、タイムスタンプ、そして私より賢い人々のための読み取り専用チェックリストです。このようなことが起きたとき、オンラインで何か見つかると嬉しいものなので、ここにそれを公開します。

3分間、私はルート権限を持つ誰かと戦うべくAIを二刀流するという生涯の目標を達成しました! 🧙🏻‍♂️ 12歳の頃の私に伝えてほしい*

このサーバーには4つのものが積み重なっていました:

• RedTail クリプトマイナー。root所有の php-fpm: pool www として潜伏
• XorDDoS スタイルの永続化(/etc/cron.hourly/gcc.sh、libudev.so、偽のサービス)
• MoneroOcean マイナー。偽の systemd-resolvd として実行され、プロセスタイトルは [kworker/0:2]
• DirtyFrag カーネル権限昇格(CVE-2026-43284 / CVE-2026-43500)

タイムラインと各要素をどう見つけたかを含む完全なレポートは、lukesteuber.com/writing/redtail-compromise にあります。素晴らしい記事にはならないでしょうが、今回のタイミングはかなり興味深いものでした。まるで、泥棒がドアを閉めて押さえ込もうとしている最中に家の中の侵入者を見つけ、彼の手をドア枠からこじ開けて敷地から追い出すようなものでした。約2分間の話ですが。

とにかく。

ファイル

• iocs.txt: ハッシュ、アブージ連絡先付きのC2 IP、Moneroプールとウォレット、ファイルシステム上の痕跡、プロセスの偽装、CVE。
• check-my-box.sh: 読み取り専用のトリアージ。このインシデントの具体的な兆候をチェックし、何も変更しません。

チェックリストの実行

curl -O https://raw.githubusercontent.com/lukeslp/redtail-ioc/main/check-my-box.sh
sudo bash check-my-box.sh

クリーンな結果は安全の証明にはならず、ヒットも侵害されたことの証明にはなりません。どちらの場合も、より注意深く調査すべきです。

侵入された経緯の要約

パスワードSSHとルートログインが有効になっていました。証拠はブルートフォースによるアクセスと、その後のDirtyFragによるroot権限取得を示しています。その露出は私自身の過失です。自分が所有するサーバーで同じ設定を見つけた場合は、緊急事態として扱ってください:パスワード認証とルートSSHを無効にし、認証情報をローテーションし、記憶ではなくログから検証してください。

ライセンス

CC0。パブリックドメインです。自由に使って、フォークして、独自の検知ルールに組み込んでください。これらのファミリーに関する修正や新しいインジケータは、IssueやPRとして歓迎します。

リンク

• GitHub
• Bluesky
• Website

*残りのことは彼に言わないでくれ。子供の頃、AIにすごく胸を躍らせていたんだ。今のAIは、飢えた小さな人種差別的なバグハンターだ。