EC2 시스템 침투 분석 보고서

🔍 시스템 침투 분석 보고서

1. 개요

• 시스템 유형: AWS EC2 (Amazon Linux)
• 발생 시점: 수동 분석 시점 기준 (2025.03.26 11:00)
• 주요 증상: dub 프로세스 반복 실행, watch 및 위장 경로 생성, 메모리 내 자가 복제, 루트킷 수준 은폐

2. 의심 프로세스 정보

• dub 프로세스가 /usr/local/bin/dub, /usr/*/usr/bin/python3 등을 통해 반복 실행
• PID 지속 변경, watch 등 사용
• dub을 실행한 watch 명령조차 위장됨
• 정상적인 find, ps, top 명령어로는 완전히 탐지되지 않음

3. 감염 경로 조사 결과

• docker ps -a 확인 결과, dub 관련 컨테이너 없음
• dub은 Docker 컨테이너 내부가 아닌 호스트 OS(ec2-user 또는 root) 에 직접 설치됨
• docker-compose, Kafka 구성 파일 정상이었으며, dub 실행 프로세스와 연관 없음
• 컨테이너 외부 감염으로 확인됨

3. 가능성 높은 침투 경로:

• SSH 침투는 IP 로그에 흔적이 없어 가능성 낮음
• 글쓰기 자동화 시스템 구축 과정 중 외부 Python 스크립트를 실행
• 해당 스크립트에 dub이 포함되어 있었을 가능성 높음
• /usr/local/bin/openai, distro, httpx, tqdm, wsdump 등의 dub 우회 실행 파일과 일치하는 파일도 함께 설치됨

4. 현재 시스템 상태 요약

• dub 파일은 삭제해도 자동 재생성
• 실행 경로가 매번 변경되어 루트킷 수준 위장
• 시스템 명령어 조작 가능성 존재
• 완전 제거 불가 판단

감염 확정 경로 - pip 기반 supply-chain 공격

• 사용자는 pip install 직후 EC2가 매우 느려지고, 콘솔 접속 및 네트워크가 불가능해졌음
• 이는 dub이 설치되면서 CPU/메모리 점유와 함께 시스템 네트워크 설정까지 변경했을 가능성이 높음
• 해당 감염은 루트킷 또는 파일리스 악성코드 형태로, 재부팅해도 자동으로 다시 실행되며 dub 프로세스가 계속 등장
• 이로 인해 사용자는 여러 차례 재부팅을 시도했으며, dub는 /usr/local/bin 및 /usr/*/usr/bin/python3 경로를 통해 자가 복제됨
• 감염 루트는 pip로 설치된 악성 패키지 내 setup.py 스크립트에 dub이 포함된 형태로 추정됨

5. 대응 조치

• pip install 직후 감염 증상 발생 → 설치된 pip 패키지 중 악성코드 삽입된 것으로 추정
• dub 프로세스는 수동 종료해도 자가 복제 및 watch loop로 재실행됨
• /usr/local/bin/, /usr/*/usr/ 내부에 dub 및 위장된 파일 존재
• .bashrc, watch, systemd, crontab, docker-compose.yml 등 관련 루트 확인 및 dub 흔적 제거
• /usr/local/bin/httpx, openai, tqdm, distro, wsdump 등 관련 실행 파일 삭제
• dub 의심 파일/경로는 모두 삭제 및 권한 차단 (chmod 000, rm -rf)
• 최종 판단: EC2 호스트가 루트킷 감염된 상태로 복구 불가 → 시스템 폐기 및 재구축 결정

---

6. 향후 대응 방안 (업데이트)

• 신규 EC2 인스턴스 클린 설치 후 아래 조치 적용
• 보안 스크립트(secure_ssh.sh) 실행 → root 로그인 및 패스워드 로그인 차단
• SSH Key 기반 인증만 허용, 보안 그룹에서 본인 IP만 열기
• Docker 서비스는 127.0.0.1 바인딩 + 방화벽(UFW)으로 외부 접근 차단
• Kafka/Mongo/Redis는 docker-compose에서 localhost로 바인딩하거나 내부 네트워크로만 구성
• pip 설치 시 반드시 공식 PyPI 확인, 외부 스크립트는 코드 검토 후 사용
• 클라우드 보안 도구 적용: AWS CloudWatch Logs + GuardDuty 활성화 (EC2 이상 탐지)
• 백업 시에는 실행파일 제외, .env, 설정파일, 코드만 이관
• 향후 주기적으로 감염 여부 자동 점검 스크립트 적용 예정

---

작성자: 본인
작성 일시: 2025-03-26