關機是最好的狀態： 離線掛載繞過 rootkit，然後把證據寄出去

三類證據，三種會消失的方式

| 類型 | 本案範例 | 保全方法 | 一旦錯過 | |---|---|---|---| | 揮發性（記憶體／連線） | 錢包、pass C4、活體 mining.login | 發現當下在活體狀態採：/proc/PID/mem dump + tcpdump | 關機即永久消失 | | 服務端（礦池記帳） | hashes、shares、payments、txnHash | 在攻擊者礦池，與受害機無關：curl 存原始 JSON + SHA256 + UTC 時間 | 攻擊者可能停 worker，但已付紀錄多留存 | | 靜態（磁碟 binary／log） | /var/log/log、nginx log、/etc/passwd | EBS snapshot → 離線唯讀掛載到乾淨機再讀 | 在原機讀＝假象；terminate＝永久消失 |

離線繞過 rootkit

本案的 ld.so.preload 是執行期 rootkit：在原機上任何工具讀被保護檔都會 segfault，連 sha256sum 都算不出來。解法是把磁碟搬到不會載入那個 preload 的乾淨機當資料碟唯讀讀取。

# EBS snapshot → 新 volume → attach 到乾淨機 /dev/xvdf，再：
$ sudo mount -o ro,noexec,nodev /dev/xvdf1 /mnt/evid

$ sudo sha256sum /mnt/evid/var/log/log /mnt/evid/usr/bin/log   # ← 這次算得出來
$ sudo cat /mnt/evid/etc/ld.so.preload                           # ← 看到 rootkit 路徑
$ sudo zcat /mnt/evid/var/log/nginx/*access.log* | grep -i py_exec  # ← 找入侵向量

$ sudo umount /mnt/evid
# binary 雜湊可上 VirusTotal 關聯同源活動；原碟一律不寫入。

本案實測：離線一掛，rootkit 全現形

166b2551b810e2747d68a47a8431fb1dab24ed54cef47eb9d3a53c46e4291896  /var/log/log            # XMRig 礦工 9.4MB
75711c01…1ef6b88                                                   /usr/bin/log            # rootkit helper / launcher
acb2e78d…9207e3c                                                   /usr/local/lib/sshdd.so # ← LD_PRELOAD rootkit 本體（hook readdir 藏檔）
e71cffd0ef65adef9d73cc1c5f83ed7d8af1d2c9fad48018c568bb5e08a888df  /var/tmp/bash           # ← 第二礦工（Go，exec -a bash 偽裝）

這次外洩了什麼

離線掛載多挖出一條收款管道。把兩種幣的收款識別、以及主機端被拿走的登入能力並排，才看得出這次入侵的完整形狀。

完整性與監管鏈

• 雜湊固定：每個原始證物算 SHA256（SHA256SUMS.txt），記 UTC 擷取時間（date -u）。日後可證明「沒被改過」。
• 唯讀掛載：一律 ro,noexec,nodev，分析都在 snapshot 複製出的 volume 上做，原始 snapshot 當證物封存，絕不寫回原碟。分析用 volume 用畢即刪。
• 可獨立重驗：礦池 JSON 這類服務端證據，第三方可自行重跑 API 比對，證據力最強。截圖不能驗完整性，務必存原始資料。
• 權限用畢即收：鑑識用的 IAM 權限在盤點完成後立即收回。

整理成 Incident Evidence Package

給執法或檢方看的不是一句「伺服器疑似被駭」，而是一份結構化的文件：

事件摘要 → 時間軸（每筆標可證明／推論）→ IOC → 證物清單（附 SHA256）→ 三層舉證 → 損害量化 → 缺口 → 後續動作。

本案證據包內容：活體記憶體字串與 pcap 節錄、兩個礦池的 API 原始 JSON 與 40 筆撥款紀錄、EBS snapshot、離線算出的 4 個 binary 雜湊、叢集盤點結果、SHA256SUMS.txt。

舉發：四封信，兩個回音

私人查不到攻擊者本人，身分揭露須檢警憑證據包向機房與交易所發傳票。但礦池與機房可以直接處理「基礎設施」：

| 對象 | 管道 | 狀態 | |---|---|---| | SupportXMR（礦池） | support 信箱 | ✓ 回覆「this address has been denylisted」 | | OVH（141.94.96.71 所在機房） | abuse 表單 | ✓ 已受理，開立 abuse ticket | | C3Pool（礦池） | support 信箱 | ✓ 已提交；對方回信索取伺服器資訊與證據，已補件 | | Hetzner（wixerzhongboost.eu 所在機房） | abuse 信箱 | ✓ 已寄 | | TWCERT/CC · 165 | 通報／刑法第 358～360 條 | 待提交 |

一封有效的檢舉信長這樣（去識別化）：

Subject: [Abuse] Cryptojacking mining proxy at 141.94.96.71 (Monero) - INC-xxxx

Reporting organization : <受害方／資產擁有者>
Incident ref           : INC-xxxx
Victim host            : <雲端>, <區域>
Compromise window      : 2025-09-24 through 2026-09-15 (UTC+8)
Nature                 : Unauthorized root access; XMRig cryptominer + LD_PRELOAD rootkit + backdoor account.

The malware (XMRig 6.22.2) maintained an ESTABLISHED connection to your IP as its
primary mining pool / proxy:
  Pool/Proxy IP : 141.94.96.71 (ports 3333, 443, 5555, 7777)
  Protocol      : Stratum (rx/0 / RandomX, Monero)
  Attacker XMR wallet (login): 47qQHF…CgHe
  Worker/pass   : C4

Evidence (captured 2026-09-15):
  - Live process memory dump AND tcpdump of the Stratum "login" containing the wallet above.
  - Malware SHA256: /var/log/log (XMRig) 166b2551…4291896

Request: Please investigate and take down the mining proxy hosted at 141.94.96.71.
Full evidence package (pcap extract, memory strings, SHA256SUMS) available on request.

C3Pool 回信要求補充「伺服器資訊、擁有權證明、取證方式、雜湊、時間戳」。補件時把不能提供的項目明確標 [NOT AVAILABLE]，憑證與密碼雜湊一律遮蔽，附上 SHA256SUMS.txt。對方要的是可驗證，不是可怕。

證據保全這件事花了多少錢

先講結論：保全證據的雲端費用是零頭，貴的是人力。所以「沒做保全」從來不是預算問題，是流程問題。

可證明的金額：US$0.00。 這張表沒有一列要花錢的是 proven，因為最關鍵的那幾筆都還是牌價推估；但結構已經很清楚：雲端保全成本 US$0.13，人力成本 US$859。 一個 snapshot 的錢不到一杯咖啡，卻是「有證據」與「只有一句伺服器疑似被駭」之間的全部差距。

重點學習

今天就可以來試試