git clone https://gitlab.com/abdom.seada/security-checks.git
cd security-checks
sudo bash setup.sh

sudo bash setup.sh

✅ Setup complete — all checks passed!

  Next steps:
    sudo ./miner-hunter scan        # Safe read-only scan
    sudo ./miner-hunter full        # Scan → Kill → Harden

sudo ./miner-hunter scan            # ✅ 安全 — 読み取り専用、変更なし
sudo ./miner-hunter full            # ⚠️  フルパイプライン: スキャン → キル → ハードニング
sudo ./miner-hunter scan --dry-run  # 👁️  プレビューモード — 何が起こるかを表示

# ステップ1: まず安全なスキャンを実行 — 何を触る前に何があるか確認
sudo ./miner-hunter scan

🚨 [CRITICAL]  CPU anomaly: 97% user CPU but top shows max 2% per process
🚨 [CRITICAL]  perf detected 4 hidden threads consuming ~94% total CPU
🚨 [CRITICAL]  Active connection to 185.x.x.x:9200 (known mining port)
🚨 [CRITICAL]  Fake kernel thread PID=3421 NAME=[kworker/0:1] EXE=/tmp/.x/miner

# ステップ2: マイナーを強制終了し、そのプールをブロック
sudo ./miner-hunter kill

# ステップ3: サーバを堅牢化して再発を防止
sudo ./miner-hunter harden

# 完全スキャンを実行 — 完全に安全、読み取り専用、変更なし
sudo ./miner-hunter scan

# その後、構造化されたレポートを読む
sudo ./miner-hunter report

sudo ./miner-hunter scan

⚠️  [WARN]     Suspicious cron entry: * * * * * /tmp/.x/update
🚨 [CRITICAL]  Malicious systemd service: /etc/systemd/system/update-check.service
🚨 [CRITICAL]  PM2 process 'app-worker' has 8432 restarts — likely miner respawn loop
🚨 [CRITICAL]  Shell profile backdoor detected in /root/.bashrc

# kill は実行中のプロセスだけでなく、すべての永続化アーティファクトを削除します
sudo ./miner-hunter kill

# 次に、何かが再生成された場合に警告を受け取れるようにウォッチドッグをインストールするため、ハードニングを実行
sudo ./miner-hunter harden

# ハードニングを単独で実行 — スキャンやキルは不要
sudo ./miner-hunter harden

⚠️  MINER MAY HAVE RESPAWNED
CPU: 89% | Mining conns: 1
Firewall blocks are in place — miner can't reach pool
Consider a REBOOT or OS REINSTALL

# 1. ファイアウォールブロックはすでに有効 — マイナーはプールに到達できません
#    ブロックがアクティブであることを確認:
iptables -L OUTPUT -n | grep DROP

# 2. 2回目のスキャンを実行して何が生き残ったか確認
sudo ./miner-hunter scan

# 3. プロセスを隠しているカーネルモジュールルートキットを確認
lsmod | grep -iE 'diamorphine|reptile|kovid|rootkit'

# 4. 非ゼロの taint = カーネル外のモジュールがロードされている（ルートキットの指標）
cat /proc/sys/kernel/tainted

# アラートログをリアルタイムで監視
tail -f /var/log/miner_hunter/watchdog_alerts.log

# ウォッチドッグcronジョブが登録されていることを確認
cat /etc/cron.d/miner-watchdog

# ベースライン作成以降の /usr/bin バイナリの変更を確認
md5sum --check /var/lib/miner_hunter/usrbin_baseline.md5 --quiet

security-checks/               ← リポジトリルート (master ブランチ)
├── miner-hunter               # エントリポイント — 実行するスクリプト
├── setup.sh                   # ⚙️ 初回セットアップ — クローン後に一度実行
├── lib/
│   ├── common.sh              # 共有ユーティリティ: ログ、色、ヘルパー
│   ├── detect_hidden.sh       # 隠しプロセスとルートキットの検出
│   ├── detect_cpu.sh          # perf と /proc によるCPUプロファイリング
│   ├── detect_network.sh      # マイニングプール接続の検出
│   ├── detect_persistence.sh  # 永続化メカニズムの検出
│   ├── kill_miner.sh          # プロセス強制終了とアーティファクト削除
│   └── harden.sh              # インシデント後の堅牢化
├── README.md
└── LICENSE