pierre/sans.pub
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

docs: nettoyage complet des fichiers malveillants restants + vérif elevenbook

Browse Source 
Les scripts p0_*.sh et un fichier .s3w étaient encore sur le disque
(seule la référence dans .gitconfig avait été nettoyée le 09-22).
Repéré en vérifiant une alerte Gitea sans rapport sur elevenbook
("hooks broken", finalement bénigne). IOC désormais absents du volume,
pas de réinfection, aucun process malveillant actif.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
Pierre Martin
2026-09-23 01:25:43 +02:00
co-authored by Claude Sonnet 5
parent 70e9476420
commit 7e5f15577a
1 changed files with 1 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
incidents/2026-09-14-gitea-cryptominer.md
+1
View File
@@ -58,6 +58,7 @@ Le mineur tournait en continu depuis le 2026-09-14 (le conteneur Gitea n'avait p
- [x] `.gitconfig` nettoyé des 13 lignes `packObjectsHook` injectées (backup conservé : `/data/gitea/home/.gitconfig.bak-20260922234958`)
- [x] Clone git re-testé et fonctionnel
- [x] Audit de la base Gitea (voir ci-dessous) : aucune autre persistance trouvée
- [x] **(2026-09-23, oubli corrigé)** Les scripts malveillants eux-mêmes (`p0_c9cd952f.sh`, `p0_9759db49.sh`) et un fichier sonde (`.s3w`) étaient toujours présents sur le disque (`/data/gitea/home/`) — seule la référence dans `.gitconfig` avait été nettoyée le 09-22, pas les fichiers. Repéré en creusant une alerte Gitea sans rapport ("hooks broken" sur `elevenbook`, finalement bénigne — hash identique à un repo sain, juste pas repoussé depuis 2023). Fichiers supprimés, recherche exhaustive des IOC sur tout le volume confirmée vide, aucun process malveillant actif, `.gitconfig` toujours propre (pas de réinfection).
## Audit Gitea (base de données) — résultat