Skip to content

Releases: alsyundawy/eradicate-zimbra-malware

Release list

v2.9.7: Staged Shell Loop Hunter, argv[0] [kworker/...] Disguise Detection, Two-Phase Freeze-then-Kill with Child Reaping & Shared Process Classifier

v2.9.7: Staged Shell Loop Hunter, argv[0] [kworker/...] Disguise Detection, Two-Phase Freeze-then-Kill with Child Reaping & Shared Process Classifier Latest
Latest

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 15 Oct 16:13
v2.9.7
0baa97b

🛡️ ZCS Eradicate Malware, Forensic Incident Response & Permission Healing Suite v2.9.7

Rilis Resmi / Official Release: v2.9.7 (15 Oktober 2026 / October 15, 2026)
Arsitek & Pengembang / Author: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy)
Kontributor & Kredit PR / Contributor & PR Credit: rafelly (@whoisrry) via Pull Request #10
Lisensi / License: Open Source / Enterprise-Ready Incident Response Suite
Kompatibilitas Sistem / OS Compatibility: Ubuntu 12.04–24.04 LTS, Debian 8–12, CentOS 6–9, RHEL 6–9, Rocky Linux 8–9, AlmaLinux 8–9

📌 Ringkasan Rilis v2.9.7 / Release Overview

Rilis v2.9.7 merupakan penyempurnaan lapangan langsung (field follow-up) dari v2.9.6 untuk mengatasi bot penambang dan dropper yang bertahan dari aturan executable path, termasuk loop shell staging (dash yang disuapi skrip melalui pipe dengan cwd direktori tersembunyi seperti /opt/zimbra/log/.qiJ), penyamaran comm dan argv[0] bertanda kurung siku seperti [kworker/...], terminasi dua fase (two-phase freeze-then-kill) dengan SIGSTOP sebelum SIGKILL guna mencegah saling hidup antar-watchdog, pembasmian proses anak (child reaping), dan pengklasifikasi proses bersama (classify_zimbra_process) yang identik di kedua skrip utama.

Release v2.9.7 delivers an immediate field follow-up to v2.9.6, neutralizing staged shell loops and [kworker/...] argv disguises that survived v2.9.6 executable-path rules. Highlights include hunting piped dash shells running from hidden staging directories (e.g. cwd /opt/zimbra/log/.qiJ), detecting userland processes impersonating kernel threads via bracketed comm or argv[0], implementing two-phase freeze-then-kill (SIGSTOP followed by SIGKILL) with child process reaping to prevent watchdog respawn races, and unifying process classification across scripts via the shared classify_zimbra_process engine.

🤝 Penghargaan & Kredit Kontributor / Acknowledgments & Pull Request Credit

Fitur pemburuan lanjutan dan mitigasi varian malware mutakhir pada rilis v2.9.7 ini diadopsi dan dikembangkan berdasarkan kontribusi lapangan brilian dari rafelly (@whoisrry) melalui Pull Request:

Special thanks to rafelly (@whoisrry) for the stellar engineering contribution, field samples, and robust multi-stage eradication techniques contributed to the suite!

🚀 Poin Pembaruan Utama / Key Release Highlights

1. 🔄 Pengklasifikasi Proses Bersama / Shared Process Classifier (classify_zimbra_process)

  • Logika pengklasifikasi proses disatukan secara identik di eradicate-zimbra-malware.sh dan malware-kill-cleanup.sh (dijamin dan diverifikasi oleh automated tests).
  • Menambahkan 3 aturan penegakan khusus untuk proses milik pengguna zimbra:
    1. Deteksi Kurung Siku Comm/argv[0]: Menangkap proses dengan comm atau argv[0] yang diawali tanda [ (seperti [kworker/2:51S]). Thread kernel asli Linux dimiliki oleh UID 0 (root) dan tidak memiliki argv.
    2. Impersonasi Perintah Kernel Thread: Mendeteksi baris perintah yang meniru thread kernel (seperti helper logger -t [kworker/2:51S]).
    3. Direktori Kerja Tersembunyi (Hidden CWD Staging): Mendeteksi proses dengan direktori kerja (cwd) di dalam folder staging tersembunyi di bawah /opt/zimbra/log, /opt/zimbra/data/tmp, /tmp, /var/tmp, atau /dev/shm.

2. 🏹 Pemburu Loop Shell Staging / Staged Shell Loop Hunter

  • Mengatasi malware canggih yang menjalankan shell asli /usr/bin/dash melalui pipeline tanpa berkas skrip di disk dan tanpa string IOC pada binary.
  • Mendeteksi proses shell tersebut berdasarkan path direktori kerjanya (cwd) yang berada di dalam folder dot tersembunyi (sampel lapangan: cwd /opt/zimbra/log/.qiJ yang mengeksekusi loop tak terbatas sleep 60).

3. ❄️ Terminasi Dua Fase & Pembasmian Proses Anak / Two-Phase Freeze-then-Kill with Child Reaping

  • Anti-Respawn Race: Seluruh PID tersangka malware terlebih dahulu diakuisisi forensiknya dan dibekukan menggunakan SIGSTOP secara serentak sebelum sinyal terminasi SIGKILL dikirimkan. Hal ini mencegah proses watchdog bersaudara (sibling watchdogs) saling membangkitkan kembali saat salah satu proses dimatikan.
  • Child Reaping: Proses anak langsung (seperti sleep dan helper logger) dibasmi secara tuntas bersamaan dengan proses induknya untuk mencegah terbentuknya proses yatim (orphan processes).

4. 📦 Skrip Rilis Kanonikal Baru: eradicate-zimbra-malware-20260825_v2.9.7.sh

  • Menghasilkan salinan rilis kanonikal eradicate-zimbra-malware-20260825_v2.9.7.sh yang identik secara bitwise (SHA-256) dengan eradicate-zimbra-malware.sh dan eradicate-zimbra-malware-20260825.sh.

5. ⏱️ Kesetaraan Modul Pendamping Automasi ke v2.9.7 / Companion Modules Parity

  • malware-kill-cleanup.sh (v2.9.7): Mengintegrasikan mesin classify_zimbra_process bersama, freeze-then-kill dengan SIGSTOP, pembasmian child process, dan pembersihan payload log Zimbra.
  • zimbra-maintenance-cron.sh (v2.9.7): Diperbarui untuk memprioritaskan eksekusi modul kanonikal eradicate-zimbra-malware-20260825_v2.9.7.sh.

6. 🎨 Penyegaran Seluruh Aset Visual WebP ke Versi 2.9.7

  • Seluruh 6 poster rilis dan diagram arsitektur visual (assets/w3zVE.webp, assets/Hfdp7.webp, assets/y16PK.webp, assets/g7esU.webp, assets/d3Acf.webp, assets/zimbra-forensic-chain-of-custody.webp) diperbarui dengan teks versi 2.9.7 dan penanggalan 15 OCT 2026.

7. 🔍 Validasi Menyeluruh 13 Pilar Rekayasa Perangkat Lunak / 13-Pillar Comprehensive Audit

  • Kode diaudit secara mendalam pada 13 pilar: Bug, Syntax, Runtime, Logic, Memory, Dead Code, Duplicate Code, Circular Dependency, Performance Bottlenecks, Security Vulnerabilities, Maintainability, Scalability, dan Readability.
  • Lolos validasi ShellCheck (0 warnings), Markdownlint (0 issues pada 6 dokumen), Bats test suite (17/17 passed), dan Python test suite (17/17 passed).

📊 Matriks Perbandingan Fitur / Feature Comparison Matrix

Kemampuan / Feature v2.9.6 v2.9.7 (Current Release)
Pipeline Steps 21 Official IR Stages 21 Official IR Stages
Process Classifier Script-specific ✅ Shared & Identical (classify_zimbra_process)
Bracketed argv[0] [kworker/...] Detection ⚠️ Executable-path only ✅ Comm & argv[0] Bracket Detection
Staged Pipe-Fed Shell Loop Hunting ⚠️ Missed genuine /usr/bin/dash ✅ Hidden CWD Detection (/opt/zimbra/log/.<dir>)
Process Kill Strategy Direct kill_matching / SIGKILL ❄️ Two-Phase Freeze (SIGSTOP) then SIGKILL
Child Process Reaping Parent only ✅ Direct Children (sleep, logger) Reaped
Kernel-Thread Masquerade Hunter ✅ hunt_zimbra_userland_masquerades ✅ Enhanced with Classifier Rules
Zimbra Log Payload Purge ✅ Hidden Dir & ELF Purge ✅ Hidden Dir & ELF Purge
systemd-logind Hardening ✅ Fixed ✅ Fixed
Package-Owned File Guard ✅ Automated rpm/dpkg Verification ✅ Automated rpm/dpkg Verification
Debian/Ubuntu vixie-cron Permission ✅ 1730 root:crontab ✅ 1730 root:crontab
Zimbra Crontab Auto-Healing ✅ Automated (heal_and_restore) ✅ Automated (heal_and_restore)
Zimbra NE Backup & LDAP Sync ✅ Automated (zmschedulebackup -D) ✅ Automated (zmschedulebackup -D)
Cryptographic Integrity SHA-256 Manifest SHA-256 Bitwise Identical
ShellCheck Compliance 🟢 0 Warnings 🟢 0 Warnings (All Scripts)
Bats & Python Test Suites 🟢 100% Passing (17 Bats + 13 Python) 🟢 100% Passing (17 Bats + 17 Python = 34 Tests)

💻 Panduan Penggunaan Cepat / Quickstart Guide

# 1. Live Incident Response & Forensic Eradication (Recommended):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi dengan Custom Whitelist & Safe Restart:
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/whitelist.txt
chmod 755 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --whitelist-file=whitelist.txt --restart-zimbra

# 3. High-Frequency Malware Killer Daemon (Cron setiap 5 menit):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/malware-kill-cleanup.sh
chmod 755 malware-kill-cleanup.sh
sudo ./malware-kill-cleanup.sh --install-cron 5

# 4. Automated Daily Maintenance & Health Check Pipeline (Harian pkl 02:00):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/zimbra-maintenance-cron.sh
chmod 755 zimbra-maintenance-cron.sh
sudo ./zimbra-maintenance-cron.sh --install-cron "0 2 * * *"

🔐 Checksum Integritas Kriptografis (SHA-25...

Read more
Assets 8
Loading

v2.9.6: Kernel-Thread Masquerade Hunter, Zimbra Log Dir Payload Purge, systemd-logind False-Positive Fix & Single-Pass Process Sweeps

v2.9.6: Kernel-Thread Masquerade Hunter, Zimbra Log Dir Payload Purge, systemd-logind False-Positive Fix & Single-Pass Process Sweeps

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 15 Oct 16:13
v2.9.6
7057594

🛡️ ZCS Eradicate Malware, Forensic Incident Response & Permission Healing Suite v2.9.6

Rilis Resmi / Official Release: v2.9.6 (15 Oktober 2026 / October 15, 2026)
Arsitek & Pengembang / Author: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy)
Kontributor & Kredit PR / Contributor & PR Credit: rafelly (@whoisrry) via Pull Request #10
Lisensi / License: Open Source / Enterprise-Ready Incident Response Suite
Kompatibilitas Sistem / OS Compatibility: Ubuntu 12.04–24.04 LTS, Debian 8–12, CentOS 6–9, RHEL 6–9, Rocky Linux 8–9, AlmaLinux 8–9

📌 Ringkasan Rilis v2.9.6 / Release Overview

Rilis v2.9.6 menghadirkan deteksi pemburu penyamaran proses kernel-thread (Kernel-Thread Masquerade Hunter) untuk membasmi miner yang mengeksekusi binary dari path tersembunyi atau log Zimbra (seperti sampel lapangan proses kvm yang mengeksekusi /opt/zimbra/log/.Iee/kvm (deleted)), pembersihan payload direktori log Zimbra (purge_zimbra_log_hidden_payloads), perbaikan kritis false-positive systemd-logind pada IOC_GREP, perlindungan berkas milik paket OS (is_package_owned_file), optimasi sapuan proses satu lintasan (single-pass process sweeps), dan skrip rilis kanonikal eradicate-zimbra-malware-20260825_v2.9.6.sh.

Release v2.9.6 delivers the Kernel-Thread Masquerade Hunter for self-deleting miners running as zimbra (field sample: process kvm executing /opt/zimbra/log/.Iee/kvm (deleted)), Zimbra Log Directory Payload Purge (purge_zimbra_log_hidden_payloads), a critical systemd-logind false-positive fix in IOC_GREP, OS package-owned file guards (is_package_owned_file), single-pass process sweep optimizations, and the dedicated canonical release script eradicate-zimbra-malware-20260825_v2.9.6.sh.

🤝 Penghargaan & Kredit Kontributor / Acknowledgments & Pull Request Credit

Fitur inti dan penanganan insiden lapangan pada rilis v2.9.6 ini diadopsi dan dikembangkan berdasarkan kontribusi komunitas luar biasa dari rafelly (@whoisrry) melalui Pull Request:

Special thanks to rafelly (@whoisrry) for the comprehensive field investigation, malware sample analysis, and code contributions that made release v2.9.6 possible!

🚀 Poin Pembaruan Utama / Key Release Highlights

1. 🥷 Pemburu Penyamaran Kernel-Thread / Kernel-Thread Masquerade Hunter (hunt_zimbra_userland_masquerades, Langkah 9)

  • Karakteristik Ancaman: Kernel thread Linux yang asli (kvm, kworker*, kthreadd, ksoftirqd*, migration*, rcu_*) berjalan di bawah UID 0 (root) dan tidak pernah memiliki tautan biner executable (/proc/<pid>/exe). Malware miner menyamarkan nama prosesnya menyerupai thread kernel namun berjalan sebagai user zimbra dan mengeksekusi binary userland.
  • Deteksi & Terminasi: Mengakuisisi bukti forensik dan menghentikan setiap proses milik zimbra yang memakai nama thread kernel, biner milik zimbra yang dieksekusi dari direktori tersembunyi (dot directory) atau path volatil (/dev/shm, /tmp, /var/tmp), serta biner dari UID mana pun yang berjalan dari /opt/zimbra/log.
  • Perlindungan True Zimbra: Biner berstatus (deleted) saja dicatat ke zimbra-deleted-exe-review.txt tanpa dihentikan paksa, melindungi daemon resmi Zimbra yang binary-nya di-unlink setelah upgrade paket.

2. 🧹 Pembersihan Payload Direktori Log Zimbra / Zimbra Log Directory Payload Purge (purge_zimbra_log_hidden_payloads, Langkah 10)

  • Direktori tersembunyi di bawah /opt/zimbra/log secara otomatis diarsipkan (tar.gz + listing berkas + SHA-256) ke evidence-<DATE>/zimbra-log-payloads/ lalu dihapus dari sistem.
  • Seluruh biner ELF di dalam struktur log Zimbra diarsipkan dan dimusnahkan.
  • Token IOC_GREP diperluas mencakup /opt/zimbra/log/.<hidden> guna membersihkan entri persistensi pada crontab, profil shell, systemd, init, dan at.

3. 🛡️ Perbaikan Kritis False-Positive systemd-logind / Critical systemd-logind False-Positive Fix

  • Masalah: Token polos systemd-logind dan gnome-session-binary pada IOC_GREP versi sebelumnya mencocokkan biner resmi /usr/lib/systemd/systemd-logind. Pada host systemd, langkah 13 sebelumnya menghentikan, menghapus, dan me-mask unit systemd-logind.service beserta layanannya, dan malware-kill-cleanup.sh mematikan daemon tersebut.
  • Perbaikan: Token systemd-logind dan gnome-session-binary kini dibatasi secara ketat hanya jika berada di bawah direktori /dev/shm, /tmp, dan /var/tmp. Token monti dibatasi sebagai kata utuh (word-bounded).

4. 📦 Pelindung Berkas Milik Paket OS / OS Package-Owned File Guard (is_package_owned_file)

  • Unit systemd dan skrip init diperiksa terhadap database paket OS (rpm -qf / dpkg -S dengan dukungan merged-/usr). Berkas yang merupakan bawaan paket resmi dilaporkan untuk review alih-alih dihapus. Berkas katalog */catalog/* dilewati secara aman.

5. ⚡ Optimasi Sapuan Proses Satu Lintasan / Single-Pass Process Sweeps

  • Fungsi kill_matching melipat 98 pola IOC ke dalam satu pemindaian pgrep tunggal, memangkas beban pemindaian /proc dari hingga 196 kali menjadi hanya 2 kali pemindaian dengan maksimal 1 jeda settle delay.
  • Resolusi executable pada masquerade sweep menggunakan satu lintasan find /proc -printf terpadu alih-alih melakukan fork readlink per proses.

6. 📦 Skrip Rilis Kanonikal Baru: eradicate-zimbra-malware-20260825_v2.9.6.sh

  • Menghasilkan salinan rilis kanonikal eradicate-zimbra-malware-20260825_v2.9.6.sh yang identik secara bitwise (SHA-256) dengan eradicate-zimbra-malware.sh dan eradicate-zimbra-malware-20260825.sh.

7. ⏱️ Kesetaraan Modul Pendamping Automasi ke v2.9.6 / Companion Modules Parity

  • malware-kill-cleanup.sh (v2.9.6): Dilengkapi aturan penyamaran kernel thread dan fungsi pembersihan payload direktori log Zimbra purge_zimbra_log_payloads (mendukung mode --dry-run).
  • zimbra-maintenance-cron.sh (v2.9.6): Menambahkan resolusi prioritas pertama untuk biner rilis eradicate-zimbra-malware-20260825_v2.9.6.sh.

📊 Matriks Perbandingan Fitur / Feature Comparison Matrix

Kemampuan / Feature v2.9.5 v2.9.6 (Current Release)
Pipeline Steps 21 Official IR Stages 21 Official IR Stages
Kernel-Thread Masquerade Hunter ❌ None ✅ Dedicated (hunt_zimbra_userland_masquerades)
Zimbra Log Payload Purge ⚠️ Standard log scan ✅ Dedicated Hidden Dir & ELF Purge
systemd-logind False-Positive ⚠️ Matched genuine unit ✅ Hardened & Fixed (/tmp,/var/tmp,/dev/shm)
Package-Owned File Guard ⚠️ Manual check ✅ Automated rpm/dpkg Verification
Process Sweep Performance Up to 196 /proc scans ⚡ Single-pass pgrep (2 scans max)
Debian/Ubuntu vixie-cron Permission ✅ 1730 root:crontab ✅ 1730 root:crontab
Zimbra Crontab Auto-Healing ✅ Automated (heal_and_restore) ✅ Automated (heal_and_restore)
Zimbra NE Backup & LDAP Sync ✅ Automated (zmschedulebackup -D) ✅ Automated (zmschedulebackup -D)
Cron Spool Protection ✅ Strictly Excluded & Protected ✅ Strictly Excluded & Protected
Code Localization Full Technical English Full Technical English
ZCS 10.1.21 Daffodil Support ✅ Fully Verified ✅ Fully Verified
Cryptographic Integrity SHA-256 Manifest SHA-256 Bitwise Identical
ShellCheck Compliance 🟢 0 Warnings 🟢 0 Warnings (All Scripts)
Bats & Python Test Suites 🟢 100% Passing (17 Bats + 12 Python) 🟢 100% Passing (18 Bats + 13 Python)

💻 Panduan Penggunaan Cepat / Quickstart Guide

# 1. Live Incident Response & Forensic Eradication (Recommended):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi dengan Custom Whitelist & Safe Restart:
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/whitelist.txt
chmod 755 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --whitelist-file=whitelist.txt --restart-zimbra

# 3. High-Frequency Malware Killer Daemon (Cron setiap 5 menit):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/malware-kill-cleanup.sh
chmod 755 malware-kill-cleanup.sh
sudo ./malware-kill-cleanup.sh --install-cron 5

# 4. Automated Daily Maintenance & Health Check Pipeline (Harian pkl 02:00):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/zimbra-maintenance-cron.sh
chmod 755 zimbra-maintenance-cron.sh
sudo ./zimbra-maintenance-cron.sh --install-cron "0 2 * * *"

🔐 Checksum Integritas Kriptografis (SHA-256) / Cryptographic Integrity Checksums

Nama Berkas / File Name Checksum SHA-256
eradicate-zimbra-malware.sh e00f8912fcad07642760b35dd05a9583b3391e4ef11432ef48bb3a87f4adc161
`...
Read more
Loading

v2.9.5: Crontab Access Immunity Fix, Debian/Ubuntu vixie-cron Healing, Zimbra Crontab Auto-Healing & zmbackup Restoration Engine

v2.9.5: Crontab Access Immunity Fix, Debian/Ubuntu vixie-cron Healing, Zimbra Crontab Auto-Healing & zmbackup Restoration Engine

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 21 Sep 21:38
v2.9.5
3e5d2e2

🛡️ ZCS Eradicate Malware, Forensic Incident Response & Permission Healing Suite v2.9.5

Rilis Resmi / Official Release: v2.9.5 (22 September 2026 / September 22, 2026)
Arsitek & Pengembang / Author: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy)
Lisensi / License: Open Source / Enterprise-Ready Incident Response Suite
Kompatibilitas Sistem / OS Compatibility: Ubuntu 12.04–24.04 LTS, Debian 8–12, CentOS 6–9, RHEL 6–9, Rocky Linux 8–9, AlmaLinux 8–9

📌 Ringkasan Rilis v2.9.5 / Release Overview

Rilis v2.9.5 menghadirkan penyempurnaan arsitektural kritis pada sistem imunitas crontab, perbaikan izin daemon vixie-cron Debian/Ubuntu (1730 root:crontab), peluncuran engine pemulihan otomatis crontab bawaan Zimbra (heal_and_restore_zimbra_crontab), restorasi komprehensif penjadwal backup Zimbra Network Edition (zmbackup) beserta sinkronisasi LDAP (zmschedulebackup -D), isolasi direktori spool cron dari pemindaian dropper 7200s mentah, serta pembaruan suite dokumentasi dan aset visual dua bahasa terpadu.

Release v2.9.5 delivers critical architectural refinements to crontab access immunity, Debian/Ubuntu vixie-cron permission healing (1730 root:crontab), an automated Zimbra standard crontab recovery engine (heal_and_restore_zimbra_crontab), comprehensive Zimbra Network Edition backup scheduler restoration (zmbackup) with LDAP synchronization (zmschedulebackup -D), cron spool directory protection against raw dropper sweeps, and complete bilingual documentation and visual asset synchronization.

🚀 Poin Pembaruan Utama / Key Release Highlights

1. ⚙️ Pemulihan Izin vixie-cron Debian/Ubuntu (1730 root:crontab & 640 root:crontab)

  • Akar Masalah (Root Cause): Pada versi sebelumnya, fungsi harden_cron_access_immunity menerapkan perizinan chmod 600 /etc/cron.allow dan chmod 700 /var/spool/cron /var/spool/cron/crontabs. Pada Debian/Ubuntu, biner /usr/bin/crontab berjalan dengan flag SETGID crontab. Pembatasan 600 root:root pada /etc/cron.allow menyebabkan user zimbra menerima error EACCES (Permission denied) saat membaca/menulis crontab. Selain itu, direktori /var/spool/cron/crontabs dengan mode 700 menyebabkan daemon cron menolak membaca spool dan mencatat INSECURE MODE (ALL CACHED SPOOLS FORGOTTEN).
  • Solusi Arsitektur (Architecture Fix): Menerapkan perizinan sadar-OS (OS-aware permissions):
    • File /etc/cron.allow disetel ke mode 640 root:crontab (atau 644 root:root jika grup crontab tidak ada).
    • Direktori spool Debian/Ubuntu /var/spool/cron/crontabs secara ketat disetel ke mode 1730 root:crontab (sticky bit + grup crontab).
    • Berkas spool user disetel ke mode 600 <user>:crontab.
    • Sistem RHEL/CentOS tetap menggunakan mode 700 root:root pada /var/spool/cron.

2. 🔄 Engine Pemulihan Otomatis Crontab Zimbra (heal_and_restore_zimbra_crontab)

  • Mengembangkan engine pemulihan multi-fallback terintegrasi pada skrip pembersih:
    1. Memulihkan crontab dari berkas template resmi (/opt/zimbra/conf/crontabs/crontab.zimbra, /opt/zimbra/conf/crontabs/crontab, atau /opt/zimbra/zimbramon/crontabs/crontab.zimbra).
    2. Jika template tidak tersedia, merekonstruksi 22 baris tugas resmi Zimbra (antrean postfix, rotasi log, dkim, zmstatuslog, statistik mailbox, swatchdog, dll.).
    3. Menggabungkan entri kustom aman non-malware yang tersimpan pada bukti $EVIDENCE/cron/crontab-zimbra-before.txt.
    4. Menginstal crontab yang telah dipulihkan secara aman via su - zimbra -c "crontab /tmp/zimbra-cron-restore.txt" dan me-reload/restart daemon cron/crond.

3. 💾 Restorasi Backup Zimbra Network Edition & Sinkronisasi LDAP (zmschedulebackup -D)

  • Mendeteksi instalasi Zimbra Network Edition secara otomatis.
  • Memeriksa ketersediaan jadwal backup zmbackup. Jika hilang, skrip secara otomatis menyuntikkan jadwal resmi:
    • Full Backup: 0 1 * * 6 /opt/zimbra/bin/zmbackup -f -a all (Setiap Sabtu pkl 01:00)
    • Incremental Backup: 0 1 * * 0-5 /opt/zimbra/bin/zmbackup -i (Setiap Minggu-Jumat pkl 01:00)
  • Menjalankan perintah resmi zmschedulebackup -D di bawah user zimbra untuk menyinkronkan jadwal crontab dengan direktori LDAP Zimbra.

4. 🛡️ Proteksi Spool File Cron terhadap False-Positive Overwrite

  • Mengecualikan path /var/spool/cron dan /var/spool/cron/crontabs dari pemindaian direktori umum pada purge_7200s_throttle_droppers().
  • Seluruh manipulasi crontab kini wajib melalui utilitas resmi crontab, mencegah desinkronisasi in-memory cache daemon cron dan korupsi perizinan spool.

5. 📦 Skrip Rilis Kanonikal Baru: eradicate-zimbra-malware-20260825_v2.9.5.sh

  • Menghasilkan salinan rilis kanonikal eradicate-zimbra-malware-20260825_v2.9.5.sh yang identik secara bitwise (SHA-256) dengan eradicate-zimbra-malware.sh dan eradicate-zimbra-malware-20260825.sh.

6. ⏱️ Pembaruan Modul Pendamping Automasi ke v2.9.5

  • malware-kill-cleanup.sh (v2.9.5): Diperbarui dengan engine heal_and_restore_zimbra_crontab(), integrasi whitelist kustom, dan kepatuhan ShellCheck 0 warning.
  • zimbra-maintenance-cron.sh (v2.9.5): Diperbarui dengan perizinan crontab sadar-OS, pemeriksaan integritas cron zimbra, dan resolusi modul berprioritas untuk eradicate-zimbra-malware-20260825_v2.9.5.sh.

7. 🎨 Penyegaran Seluruh Aset Visual WebP ke Versi 2.9.5

  • Seluruh poster rilis dan diagram arsitektur visual (assets/w3zVE.webp, assets/Hfdp7.webp, assets/y16PK.webp, assets/g7esU.webp, assets/d3Acf.webp, assets/zimbra-forensic-chain-of-custody.webp) diperbarui dengan teks versi 2.9.5 dan penanggalan 22 SEP 2026.

8. 📚 Ekosistem Dokumentasi Dua Bahasa Terpadu

📊 Matriks Perbandingan Fitur / Feature Comparison Matrix

Kemampuan / Feature v2.9.4 v2.9.5 (Current Release)
Pipeline Steps 21 Official IR Stages 21 Official IR Stages
Debian/Ubuntu vixie-cron Permission ⚠️ Generic 700 (Spool Rejection) ✅ 1730 root:crontab & 640 root:crontab
Zimbra Crontab Auto-Healing ❌ Manual Restoration ✅ Automated (heal_and_restore)
Zimbra NE Backup & LDAP Sync ❌ Manual Intervention ✅ Automated (zmschedulebackup -D)
Cron Spool Protection from Dropper Scans ⚠️ Included in raw scan ✅ Strictly Excluded & Protected
Code Localization Full Technical English Full Technical English
ZCS 10.1.21 Daffodil Support ✅ Fully Verified ✅ Fully Verified
Cross-OS Migration Blueprint ✅ Full SOP Included ✅ Full SOP Included
DNS Firewall Architecture (RPZ/RBL) ✅ Unbound + BIND9 ✅ Unbound + BIND9
Custom Whitelist Engine (whitelist.txt) ✅ Accounts/Scripts/IPs ✅ Accounts/Scripts/IPs
Companion Daemons Version v2.9.4 v2.9.5 Synchronized
Cryptographic Integrity SHA-256 Manifest SHA-256 Bitwise Identical
ShellCheck Compliance 🟢 0 Warnings 🟢 0 Warnings (All Scripts)
Bats & Python Test Suites 🟢 100% Passing (14 Tests) 🟢 100% Passing (17 Bats + 12 Python)

💻 Panduan Penggunaan Cepat / Quickstart Guide

# 1. Live Incident Response & Forensic Eradication (Recommended):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi dengan Custom Whitelist & Safe Restart:
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/whitelist.txt
chmod 755 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --whitelist-file=whitelist.txt --restart-zimbra

# 3. High-Frequency Malware Killer Daemon (Cron setiap 5 menit):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/malware-kill-cleanup.sh
chmod 755 malware-kill-cleanup.sh
sudo ./malware-kill-cleanup.sh --install-cron 5

# 4. Automated Daily Maintenance & Health Check Pipeline (Harian pkl 02:00):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/zimbra-maintenance-cron.sh
chmod 755 zimbra-maintenance-cron.sh
sudo ./zimbra-maintenance-cron.sh --install-cron "0 2 * * *"

🔐 Checksum Integritas Kriptografis (SHA-256) / Cryptographic Integrity Checksums

Nama Berkas / File Name Checksum SHA-256
eradicate-zimbra-malware.sh b7f9e882b93edad7de62d8389e0120aeb459deca459388ba71d725377ddb4c11
eradicate-zimbra-malware-20260825.sh b7f9e882b93edad7de62d8389e0120aeb459deca459388ba71d725377ddb4c11
eradicate-zimbra-malware-20260825_v2.9.5.sh b7f9e882b93edad7de62d8389e0120aeb459deca459388ba71d725377ddb4c11
malware-kill-cleanup.sh 38f48e90add1c79f484ee5329ae77c2e5e5b409b1b6b45dfab7136e62208e52b
zimbra-maintenance-cron.sh 28c97fb3bbaa4e5d5d6bcf4f36371963ef48b80ef64abfec0ca6279bcfc14af4
whitelist.txt 5521a21255b8f171f63e895a7e10fae7bbdba078ff981bd864194b0d360af212

👤 Informasi Penulis & Dukungan / Author & Support Information

Read more
Loading

v2.9.4 — Total English Localization, Zimbra Daffodil 10.1.21 Support, Cross-OS Migration & Dual Language Suite By ALSYUNDAWY

v2.9.4 — Total English Localization, Zimbra Daffodil 10.1.21 Support, Cross-OS Migration & Dual Language Suite By ALSYUNDAWY

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 08 Sep 14:04
v2.9.4
042c5c1

🛡️ ZCS Eradicate Malware & Incident Response Suite v2.9.4

Enterprise Forensic Incident Response, Anti-Ransomware, Polyglot Webshell Quarantine & Zimbra Permission Healing Suite
Author: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy) | Release Date: 08 September 2026

🌟 Release Overview (English)

Version v2.9.4 brings a complete transformation to the suite: Full English Localization across all scripts and CLI interfaces, official validation and mitigation baselines for ZCS 10.1.21 "Daffodil" (Released August 31, 2026), hardened Memcached security auditing with safe temporary file registration (register_tmp), field-tested Cross-OS Migration Architectures (CentOS/Ubuntu/Rocky/AlmaLinux), and deep DNS Perimeter Defense (Unbound RPZ, BIND9 Split-DNS, dnsdist).

In addition, companion daemons malware-kill-cleanup.sh and zimbra-maintenance-cron.sh have been upgraded to v2.9.4 with full English localization and seamless module auto-discovery. The entire repository documentation is now published in a unified Dual-Language Documentation Architecture (English canonical and Indonesian full mirror).

🌟 Ringkasan Rilis (Bahasa Indonesia)

Versi v2.9.4 menghadirkan pembaruan masif: Lokalisasi penuh bahasa Inggris pada seluruh skrip dan interaksi antarmuka CLI, validasi dan baseline mitigasi resmi untuk ZCS 10.1.21 "Daffodil" (Rilis Resmi 31 Agustus 2026), audit keamanan Memcached dengan pengelolaan temporary file aman (register_tmp), arsitektur Migrasi Cross-OS Teruji Lapangan (CentOS/Ubuntu/Rocky/AlmaLinux), serta pertahanan DNS Perimeter Tingkat Lanjut (Unbound RPZ, BIND9 Split-DNS, dnsdist).

Selain itu, daemon pendamping malware-kill-cleanup.sh dan zimbra-maintenance-cron.sh telah diperbarui ke v2.9.4 dengan lokalisasi bahasa Inggris penuh dan auto-discovery modul presisi tinggi. Seluruh dokumentasi repositori kini hadir dalam Ekosistem Dokumentasi Dua Bahasa Terpadu (Bahasa Inggris kanonikal dan Bahasa Indonesia lengkap).

🚀 Key Highlights & New Capabilities (English)

1. 🌐 Total English Localization Across Core Engine & Companion Daemons

  • Zero Residual Non-English Strings: All CLI menus, prompts, logging outputs, detection alerts, audit reports, and crontab operations (install_cron_job, remove_cron_job, status_cron_job) across eradicate-zimbra-malware.sh, malware-kill-cleanup.sh, and zimbra-maintenance-cron.sh are fully localized into professional technical English.
  • Enterprise SOC & DevOps Readiness: Designed for direct, frictionless integration into global corporate monitoring pipelines, SIEM collectors, and multinational incident response teams.

2. 🛡️ Official Verification & Mitigations for Zimbra 10.1.21 "Daffodil"

  • ZCS 10.1.21 Telemetry Baseline: Updated forensic IOC signatures, process whitelisting, and remediation steps aligned with the official ZCS 10.1.21 patch release (August 31, 2026).
  • Network Edition LDS Compatibility: Verified telemetry and service management rules for the new License Daemon Service (LDS) on ZCS 10.1.x.
  • Critical Vulnerability Mitigations: Validated defense baselines against SNMP Command Injection (CVE-2026-73570), RestFilter Unauthenticated LFI (CVE-2025-68645), and Classic Web Client Stored XSS (CVE-2025-66376). Post-incident remediation directives (Step 21) now target ZCS 10.1.21+ / 10.0.18+ / 9.0.0 P41+ / 8.8.15 P46+.

3. 🔒 Memcached Audit Hardening & Safe Temporary Files

  • TOCTOU Elimination: Replaced static fallback temporary file paths (/tmp/zimbra-memcached.tmp.$$) in audit_memcached_security() with strictly isolated mktemp handles.
  • Direct Cleanup Registration: Registered temporary files immediately via register_tmp "$tmp_mc", guaranteeing automatic purging through the script's cleanup() EXIT trap upon normal completion or process interruption.

4. 🔄 Field-Tested Cross-OS Migration Architectures

  • Side-by-Side Zero-Downtime Migration: Fully documented methodology for migrating Zimbra mail stores across disparate distributions (CentOS 6/7/8, Rocky Linux, AlmaLinux to Ubuntu 20.04/22.04/24.04).
  • Automated Metadata & Mail Store Sync: Detailed procedures for zmslapcat / slapadd LDAP directory extraction, multi-threaded rsync mail store synchronizations with hard-link preservation, and permission healing via zmfixperms --extended.

5. 🛡️ Advanced DNS Firewall (RPZ, Split-DNS & dnsdist)

  • Unbound RPZ Defense: High-performance local DNS caching with Response Policy Zone (respip) rules to sinkhole botnet C2 domains before SMTP queries reach Postfix.
  • BIND9 Authoritative Split-DNS: Segmented DNS architecture isolating internal private zones from external Internet queries to prevent DNS amplification and poisoning.
  • dnsdist Integration: Load balancing, rate limiting, and DDoS mitigation at the DNS query layer.

6. 🎨 Visual Architecture & Infographic Asset Refresh

  • Typography & Versioning Synchronization: All 4 visual architecture infographics (assets/w3zVE.webp, assets/Hfdp7.webp, assets/y16PK.webp, assets/g7esU.webp) updated with pristine typographic alignment reflecting v2.9.4 and September 08, 2026 telemetry.

🚀 Fitur Baru & Peningkatan Utama (Bahasa Indonesia)

1. 🌐 Lokalisasi Total Bahasa Inggris pada Seluruh Skrip

  • Eliminasi String Residual: Seluruh menu CLI, prompt konfirmasi, pesan log, peringatan deteksi, laporan audit, dan rutinitas crontab (install_cron_job, remove_cron_job, status_cron_job) pada eradicate-zimbra-malware.sh, malware-kill-cleanup.sh, dan zimbra-maintenance-cron.sh menggunakan bahasa Inggris teknis standar secara penuh.
  • Kesiapan SOC Global: Memudahkan integrasi dengan SIEM enterprise internasional dan tim respons insiden lintas negara tanpa hambatan bahasa.

2. 🛡️ Verifikasi & Mitigasi Resmi Zimbra 10.1.21 "Daffodil"

  • Baseline Telemetri ZCS 10.1.21: Pembaruan signature IOC forensik, whitelist proses, dan langkah remediasi selaras dengan rilis resmi ZCS 10.1.21 (31 Agustus 2026).
  • Kompatibilitas Layanan LDS: Verifikasi aturan manajemen layanan untuk License Daemon Service (LDS) pada ZCS Network Edition 10.1.x.
  • Mitigasi Kerentanan Kritis: Validasi mitigasi terhadap CVE-2026-73570 (SNMP Command Injection), CVE-2025-68645 (RestFilter Unauthenticated LFI), dan CVE-2025-66376 (Classic Web Client Stored XSS). Rekomendasi patch pasca-insiden (Langkah 21) kini mengarahkan ke ZCS 10.1.21+ / 10.0.18+ / 9.0.0 P41+ / 8.8.15 P46+.

3. 🔒 Penguatan Audit Memcached & File Temporer Aman

  • Pencegahan TOCTOU: Mengganti path file sementara berbasis PID statis (/tmp/zimbra-memcached.tmp.$$) pada fungsi audit_memcached_security() dengan file acak mktemp berizin ketat.
  • Pembersihan Otomatis Terjamin: Didaftarkan langsung ke register_tmp "$tmp_mc", menjamin penghapusan otomatis oleh trap cleanup() saat eksekusi selesai atau terhenti.

4. 🔄 Arsitektur Migrasi Lintas Sistem Operasi (Cross-OS)

  • Migrasi Side-by-Side Minim Downtime: Panduan lengkap migrasi lintas distro (CentOS 6/7/8, Rocky Linux, AlmaLinux ke Ubuntu 20.04/22.04/24.04).
  • Sinkronisasi Metadata & Store Email: Prosedur export/import LDAP menggunakan zmslapcat/slapadd, transfer mailbox dengan rsync berkecepatan tinggi berpreservasi hard link, dan perbaikan izin otomatis via zmfixperms --extended.

5. 🛡️ Pertahanan DNS Firewall (RPZ, Split-DNS & dnsdist)

  • Proteksi RPZ Unbound: DNS caching lokal dengan Response Policy Zone (respip) untuk menenggelamkan (sinkhole) domain C2 botnet sebelum query mencapai Postfix.
  • Authoritative Split-DNS BIND9: Pemisahan query internal LAN dan eksternal publik untuk mencegah kebocoran informasi dan DNS poisoning.
  • dnsdist Load Balancer: Proteksi rate-limiting dan mitigasi serangan DDoS pada query DNS mail server.

6. 🎨 Penyegaran Aset Visual & Infografis Arsitektur

  • Sinkronisasi Tipografi & Versi: Keempat diagram arsitektur visual (assets/w3zVE.webp, assets/Hfdp7.webp, assets/y16PK.webp, assets/g7esU.webp) diperbarui dengan perataan tipografi presisi tinggi merefleksikan versi v2.9.4 dan penanggalan 08 September 2026.

📊 Matriks Perbandingan Fitur / Feature Comparison Matrix

Kemampuan / Feature v2.9.3 v2.9.4 (Current Release)
Pipeline Steps 21 Forensic Stages 21 Official IR Forensic Stages
Code Localization Mixed / Bilingual Full Technical English Across All Scripts
Documentation Architecture Single Language Full Dual-Language (English + Indonesian)
ZCS 10.1.21 Daffodil Support ⚠️ Partial / Untested ✅ Fully Verified & Integrated (Aug 31, 2026)
License Daemon Service (LDS) ❌ Not Handled ✅ Recognized & Whitelisted in NE 10.1.x
Memcached Temp File Hardening ⚠️ Fallback Static PID ✅ mktemp + register_tmp Trap Purging
Cross-OS Migration Blueprints ❌ Not Documented ✅ CentOS/Rocky/Alma to Ubuntu Verified
DNS Firewall Architecture ⚠️ Basic DNS info ✅ Unbound RPZ + BIND9 Split-DNS + dnsdist
Custom Whitelist Engine ✅ Multi-Location ✅ Multi-Location + Full Wildcard Support
Companion Daemons Version v2.9.3 v2.9.4 Synchronized (Full English)
Cryptographic Integrity Sealing SHA-256 Manifest SHA-256 Bitwise Identical Canonical Releases
ShellCheck Compliance 🟢 0 Warnings 🟢 0 Warnings (All 5 Active Scripts)
Bats & Python Test Suites 🟢 100% Passing 🟢 100% Passing (14 Bats + 10 Python)

💻 Panduan Penggunaan Cepat / Quickstart Guide

# 1. Live Incident Response & Forensic Eradication (Recommended):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Execution with Custom Whitelist & Safe Re...
Read more
Loading

v2.9.3 — Threat Intel Refresh 2025–2026, Custom Whitelist Wildcard Engine, QLNX RAT, P2PInfect & Systemd Masquerade Defense Suite By ALSYUNDAWY

v2.9.3 — Threat Intel Refresh 2025–2026, Custom Whitelist Wildcard Engine, QLNX RAT, P2PInfect & Systemd Masquerade Defense Suite By ALSYUNDAWY

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 30 Aug 14:42
v2.9.3
5f485e0

🛡️ ZCS Eradicate Malware & Incident Response Suite v2.9.3

Enterprise Forensic Incident Response, Anti-Ransomware, Polyglot Webshell Quarantine & Zimbra Permission Healing Suite
Author: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy) | Release Date: 30 Agustus 2026

🌟 Ringkasan Rilis v2.9.3 (Release Overview)

Versi v2.9.3 menghadirkan pembaruan besar pada lapisan Custom Whitelist Engine dengan Dukungan Pola Wildcard Penuh, penerapan Open Forensic Report & Incident Directory Permissions Model, serta Threat Intelligence Refresh 2025–2026 terpadu.

Rilis ini menetralkan kampanye cryptojacking Linuxsys/Eliox (kthreaddi, eliox.sh), penambang tersamar bioset, worm peer-to-peer P2PInfect (p2pinf, deployer.sh), implan canggih QLNX RAT 2026 (quasar-implant, /var/log/.ICE-unix), penyamaran proses resmi systemd-logind & gnome-session-binary, domain DNS tunneling LAUNDRY BEAR C2 (zimbra-metadata.com, ocferda.com), mitigasi CVE-2025-27915 (ICS Calendar Stored XSS via ontoggle), eksploitasi Redis CVE-2022-0543 / CVE-2025-49844, penguatan pertahanan webshell berbasis cookie header JACTION, serta sinkronisasi versi seragam di seluruh dokumentasi dan instrumen otomasi suite.

🚀 Fitur Baru & Peningkatan Utama (Key Highlights)

1. ⚙️ Custom whitelist.txt Auto-Whitelist Engine with Wildcard Support

  • Full Wildcard Globbing: Mendukung pencocokan pola wildcard (* dan ?) pada berkas whitelist.txt mandiri untuk 3 kategori entitas utama:
    • Akun Email & User (CUSTOM_WHITELIST_ACCOUNTS): Mendukung domain wildcards (*@trusteddomain.com, *@corp.example.com) dan username wildcards (admin*, finance_*, zimbra, root). Kebal mutlak dari penguncian otomatis zmprov pada modul audit spammer.
    • File Names & Admin Scripts (CUSTOM_WHITELIST_FILES): Mendukung ekstensi wildcard (*.sh, *.py, *.pl, *.bin), prefix wildcard (backup_*.sh, custom-*), dan path wildcards (/root/scripts/*.sh, /opt/zimbra/scripts/*). Kebal mutlak dari pemusnahan proses, karantina webshell, dropper purge, dan chmod 000.
    • IP Addresses & Subnets /24 (CUSTOM_WHITELIST_IPS/CIDRS): Perlindungan IP individual (127.0.0.1, 10.0.0.1) dan blok subnet (192.168.1.0/24, 10.0.0.0/8, 172.16.0.0/16) yang kebal mutlak dari pemblokiran firewall iptables dan otomatis di-release jika sebelumnya terblokir.
  • Multi-Location Auto-Discovery: Mendukung parameter CLI --whitelist-file=<path>, environment variable WHITELIST_FILE, dan pencarian otomatis pada direktori script, working directory, /opt/zimbra/conf/whitelist.txt, /root/whitelist.txt, dan /root/incident-20260825/whitelist.txt.

2. 🔓 Open Forensic Report & Incident Directory Permissions Model

  • Mengeliminasi pembatasan izin ketat chmod 700 pada direktori insiden /root/incident-20260825/, $EVIDENCE, dan safe_mkdir(), serta menghapus chmod 600 pada $LOG dan file dump memori.
  • Menerapkan standar umask 022 agar seluruh berkas bukti, manifest, dan laporan eksekusi dapat dibaca, diaudit, dan diunduh oleh operator sistem dan dashboard monitoring tanpa hambatan perizinan.

3. 🔍 Threat Intelligence Refresh 2025–2026

  • Linuxsys/Eliox Cryptominer Masquerades (kthreaddi & eliox.sh): Deteksi dan eliminasi biner XMRig miner yang menyamar sebagai kernel thread Linux kthreaddi serta skrip dropper pembunuh kompetitor eliox.sh.
  • bioset Cryptominer Masquerades (bioset): Deteksi biner miner yang menyamar sebagai kernel thread bio_set (bioset) di direktori volatil /dev/shm, /tmp, dan /var/tmp.
  • P2PInfect Worm Binary & deployer.sh Dropper (p2pinf, deployer.sh): Netralisasi worm Rust P2P dan skrip deployer awal (MD5: 80676a539765a9e117f20b6b99887eca) berbasis eksploitasi Redis Lua sandbox escape (CVE-2022-0543, CVE-2025-49844).
  • QLNX RAT 2026 IOCs (quasar-implant, /var/log/.ICE-unix): Deteksi Quasar Linux RAT 2026 dengan store kredensial terenkripsi XOR /var/log/.ICE-unix dan backup injection /etc/ld.so.preload.bak.
  • systemd-logind Cryptominer Masquerade: Deteksi heuristik biner miner yang menyamar dengan nama daemon systemd-logind bila dieksekusi dari direktori volatil /dev/shm, /tmp, atau /var/tmp.
  • gnome-session-binary Masquerade: Pembersihan biner malware yang menyamar sebagai session manager GNOME di server headless.

4. 🌐 LAUNDRY BEAR C2 DNS Tunneling Domain Detection

  • Menambahkan domain C2 DNS tunneling TA488 / LAUNDRY BEAR (zimbra-metadata.com, ocferda.com) ke dalam IOC_GREP dan WEBSHELL_GREP untuk mendeteksi komunikasi eksfiltrasi data tersembunyi.

5. 🍪 Secondary Cookie-Based Command Execution Defense (JACTION)

  • Menambahkan signature deteksi backdoor JSP/PHP yang menyamarkan payload eksekusi perintah shell melalui HTTP Cookie header JACTION.

6. 🛡️ Mitigasi Kerentanan Baru Zimbra (CVE-2025-27915 & Redis RCE)

  • CVE-2025-27915 (ICS Calendar Stored XSS): Pendeteksian signature payload XSS event ontoggle pada lampiran kalender .ics di direktori temporer Amavis.
  • CVE-2022-0543 & CVE-2025-49844: Deteksi artefak eksploitasi Redis sandbox escape yang menjadi pintu masuk dropper worm lateral.

📊 Matriks Perbandingan Fitur

Fitur / Kemampuan Keamanan v2.9.2 v2.9.3 (Rilis Terkini)
Pipeline Steps 21 Tahap 21 Tahap Resmi IR
Custom whitelist.txt Engine ❌ Belum ada ✅ Multi-Location Auto-Discovery
Wildcard Matching Support ❌ Belum ada ✅ Full *.sh, *.py, *@domain.com Globbing
Open Incident Permissions Model ⚠️ Strict chmod 700/600 ✅ Standard umask 022 Open Auditing
Threat Intel Refresh (2025–2026) ⚠️ Sebagian ✅ QLNX RAT, P2PInfect, kthreaddi, bioset
Systemd Masquerade Detection ⚠️ Belum ada ✅ systemd-logind & gnome-session
LAUNDRY BEAR C2 DNS Domains ⚠️ Belum lengkap ✅ zimbra-metadata.com & ocferda.com
Cookie-Based JACTION WebShell ❌ Belum ada ✅ Terdeteksi Penuh di WEBSHELL_GREP
CVE-2025-27915 ICS XSS Defense ❌ Belum ada ✅ Amavis Spool .ics Stored XSS Filter
Redis CVE-2022-0543 / 2025-49844 ❌ Belum ada ✅ Lua Escape & P2P Dropper Purge
Safe Idle PID / CWD Exception ⚠️ Berpotensi FP ✅ Zero False-Positive Working Dir
Visual Workflow Diagrams ⚠️ Belum ada ✅ 6 Diagram Terstruktur WebP
Status Uji ShellCheck & Syntax 🟢 0 Warning 🟢 0 Error, 0 Warning (100% Clean)

💻 Panduan Penggunaan Cepat (Quickstart)

# 1. Eksekusi Live Incident Response & Eradication (Rekomendasi):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi Manual dengan Custom Whitelist:
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/whitelist.txt
chmod 755 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --whitelist-file=whitelist.txt --restart-zimbra

# 3. Pemasangan Otomatis Fast Malware Killer (setiap 5 menit):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/malware-kill-cleanup.sh
chmod 755 malware-kill-cleanup.sh
sudo ./malware-kill-cleanup.sh --install-cron 5

# 4. Pemasangan Otomatis Full Maintenance Pipeline (harian pkl 02:00 WIB):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/zimbra-maintenance-cron.sh
chmod 755 zimbra-maintenance-cron.sh
sudo ./zimbra-maintenance-cron.sh --install-cron "0 2 * * *"

🔐 Checksum Integritas Kriptografis (SHA-256)

Nama Berkas Checksum SHA-256
eradicate-zimbra-malware.sh 3568973f272c11c61750975882a094b5a09de957633211a1440ae971200afe9a
eradicate-zimbra-malware-20260825.sh 3568973f272c11c61750975882a094b5a09de957633211a1440ae971200afe9a
eradicate-zimbra-malware-20260825_v2.9.3.sh 3568973f272c11c61750975882a094b5a09de957633211a1440ae971200afe9a
malware-kill-cleanup.sh fbc8c1220befd8cd2f4c91f2308cbcca1ecefb38d58aaef1d71bb4c59f99a4c9
zimbra-maintenance-cron.sh 362f824bf6914a35a6dc9736a72895e7fa8ab51abb5321802701663d137e69bb
whitelist.txt b4bb80d42daa9a4642caf92f8ee2d37126c643efe5f039f1db3b980d20a9ced2

👤 Informasi Penulis & Dukungan

Loading

v2.9.2 — Indonesia Auto-ACL, Script Purge, Automated Cron Maintenance & System Immunity Suite By ALSYUNDAWY

v2.9.2 — Indonesia Auto-ACL, Script Purge, Automated Cron Maintenance & System Immunity Suite By ALSYUNDAWY

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 28 Aug 18:34
v2.9.2
6e7698e

v2.9.2 — Indonesia Auto-ACL, Script Purge, Automated Cron Maintenance & System Immunity Suite By ALSYUNDAWY

Release Version: v2.9.2
Release Date: 2026-08-28
Author & Security Lead: Harry Dertin Sutisna Alsyundawy (Harry DS Alsyundawy)
Target OS: Ubuntu 16/18/20/22/24, RHEL 6/7/8/9, CentOS 6/7/8/9, Rocky Linux 8/9, AlmaLinux 8/9
Shell Standards: POSIX ERE / Bash 3.2+ / Bash 4.1+ / Bash 5.x (0 ShellCheck Warnings)

🌟 Ringkasan Eksekutif Rilis v2.9.2

Rilis v2.9.2 memperkenalkan lompatan arsitektur keamanan besar untuk server Zimbra Collaboration Suite (ZCS). Memadukan otomatisasi Forensic Incident Response (21 Langkah), Anti-Recurrence Engine, remediasi komprehensif 25 Matriks Kerentanan ZCS 2018–2026 (termasuk CVE-2025-66376 s/d CVE-2026-73576, Zimbra zm-build PR #332 list-form dosnmp(), Memcached Loopback Hardening & Sudoers LPE Audit), integrasi live feed 17.700+ CIDR Whitelist Indonesia Bebas Duplikasi (APNIC, MikroTik NICE IIX/OpenIXP, IPVerse, Ebrasha), perlindungan persistensi crontab (/etc/cron.allow), pengerasan partisi memori /dev/shm (Zero-Execution Mount), perburuan biner ELF samaran (softwaretech, /bin/idle, systemd-resolved), serta proteksi penuh untuk skrip administrasi crond sah dan portabilitas mutlak hingga ke sistem operasi legasi CentOS 6 (Bash 4.1 / Kernel 2.6.32).

🚀 Fitur Utama & Peningkatan Keamanan

1. 🛡️ Integrasi Patch Zimbra zm-build PR #332 & CVE-2026-73570 Deep Remediation

  • Patch dosnmp() List-Form System Execution:
    • Menggantikan interpolasi string backtick shell yang rentan (\$snmptrap $snmpsvctrap $snmpsvcname s $args{SERVICE}...`) pada fungsi dosnmp() di seluruh berkas konfigurasi swatch (/opt/zimbra/conf/swatchrc*, swatchrc.in, swatchrc.template*, rpmconf/Conf/swatchrc*) menjadi pemanggilan list-form aman my @cmd = ('/opt/zimbra/common/bin/snmptrap', '-v', '2c', '-c', 'zimbra', $traphost, '', $snmpsvctrap, $snmpsvcname, 's', $args{SERVICE}, $snmpsvcstatus, 'i', $statuses{$args{STATUS}}); system(@cmd);`.
    • Eksekusi langsung via execvp() tanpa melibatkan /bin/sh sehingga menutup total celah injeksi perintah OS (Unauthenticated OS Command Injection) melalui manipulasi log SMTP/HELO.
  • Parser Regex Hardening: Membatasi capture group (.*) menjadi token alfanumerik ketat ([a-zA-Z0-9_.-]+).
  • Layanan SNMP & Swatchdog Containment: Menghentikan zmswatchctl, menyetel smtp_notify=no, mencabut service SNMP LDAP, dan membersihkan seluruh file runtime swatch terkompilasi.

2. 🛡️ Penambahan IOC Insiden Langsung (softwaretech, /bin/idle, 167.71.56.26:3333)

  • softwaretech Masquerade Miner: Mengidentifikasi dan memusnahkan XMRig miner (5.1MiB ELF) yang menyamar sebagai ./softwaretech dengan argumen mining pool (-o 167.71.56.26:3333 -u 83sgNt...) dan staged di /dev/shm/.s/softwaretech.
  • /bin/idle Trojan System Path: Mengaudit dan memusnahkan binary trojan/persistensi yang ditanam langsung di system PATH (/bin/idle, /usr/bin/idle) untuk mengelabui deteksi direktori /tmp dan /dev/shm.
  • 167.71.56.26 C2 Stratum Mining Node: Pemblokiran mutlak IP dan subnet 167.71.56.0/24 pada port 3333 di firewall iptables.
  • 83sgNtC4 & -shuffle: Deteksi pola signature wallet Monero dan parameter watchdog ksmd -c 1000 -t 10 -shuffle.

3. 🎯 Optimalisasi Daftar Subnet IOC (THREAT_SUBNETS / IOC_IPS)

  • Format Langsung /24 Murni: Mengeliminasi entri single-IP individual yang berlebihan dan menyelaraskan seluruh daftar IP terblokir langsung sebagai subnet /24 murni, menghemat memori kernel, mempercepat evaluasi ruleset firewall iptables, dan mencegah duplikasi aturan.

4. 🇮🇩 Indonesia IP Auto-ACL Whitelist Engine — Zero-Duplicate Interval Merge & Supernet Collapse

  • Default Enabled: Fitur sinkronisasi otomatis subnet Indonesia aktif secara default (AUTO_WHITELIST_ID_ENABLED=1).
  • Supernet Collapse Optimization: Jika terdapat subnet yang lebih kecil (/22, /23, /24) yang sudah tercakup dalam subnet yang lebih besar (/21, /16, dll.), algoritma interval merge otomatis menggabungkan rentang tersebut dan mengambil subnet terbesarnya (/21), menghasilkan tabel ACL yang ringkas dan bebas duplikasi.
  • Agregasi Multi-Sumber Otoritatif: Sinkronisasi live 17.700+ CIDR domestik Indonesia dari 5 sumber data (APNIC, NICE, IPVerse, Ebrasha, IPv6).

5. 🛡️ Remediasi Komprehensif ZCS 2016–2026 CVE Series

  • CVE-2026-73576 (Weak PRNG / JWT Secret Regeneration):
    • Mengaudit parameter zimbraDocumentEditingJwtSecret di zmlocalconfig. Jika terdeteksi lemah, pendek, atau default, script secara otomatis meregenerasi kunci rahasia kriptografis 256-bit (64 karakter hex) berentropi tinggi dari /dev/urandom.
  • CVE-2022-27924 & CVE-2024-27443 (Memcached Injection & Proxy Poisoning Hardening):
    • Mengaudit /opt/zimbra/conf/zimbra-memcached.conf dan secara otomatis mengunci network binding hanya ke antarmuka loopback lokal (-l 127.0.0.1) dengan teknik atomik in-place rewrite (mktemp + cat) menjaga kepemilikan zimbra:zimbra.
  • CVE-2022-3569, CVE-2022-37393 & CVE-2022-41347 (Sudoers LPE Audit & Hardening):
    • Mengaudit seluruh konfigurasi /etc/sudoers dan /etc/sudoers.d/* untuk memvalidasi hak akses file (chmod 0440) dan mencegah eskalasi hak akses (Local Privilege Escalation) dari user zimbra ke root.
  • CVE-2025-67809 & CVE-2020-7796 (Vulnerable & Deprecated Zimlet Cleanup):
    • Otomatis mendeteksi, mendisable, dan meng-undeploy paket Zimlet rentan (com_zimbra_flickr dan com_zimbra_webex).
  • CVE-2026-73574 (LFI fu=), CVE-2026-73573 (Traversal packages=) & CVE-2025-68645 (/h/rest LFI):
    • Pemindaian telemetri otomatis terhadap seluruh log akses web (access_log*, nginx.access.log*, /var/log/nginx/access.log*, /var/log/httpd/access_log*) dan penyimpanannya ke $capture_dir/web-exploit-attempts.txt.
  • CVE-2026-33369 (LDAP Injection in FolderAction) & CVE-2026-73571 (SaveDraftRequest Impersonation):
    • Perekaman telemetri SOAP requests anomali di mailbox.log ke $capture_dir/soap-exploit-attempts.txt.
  • CVE-2026-33372, CVE-2026-33373, CVE-2026-73572 & CVE-2026-73575 (CSRF / Cookie Security):
    • Penegakan atribut keamanan domain zimbraCookieHttpOnly=TRUE, zimbraCookieSecure=TRUE, dan audit integritas ekstensi EWS di /opt/zimbra/lib/ext/.

6. 🛡️ Boundary-Anchored Dropper Regex & Admin Crontab Whitelist Immunity

  • Boundary-Anchored Regex ((^|[[:space:]/])(w3|p|d|x)\.sh($|[[:space:]])): Menghilangkan false-positive substring matching pada file sah yang berakhiran d.sh (seperti /root/deferred.sh) atau p.sh.
  • Preservasi Crontab Admin & File Sah: Menjamin integritas seluruh cron job kustom administrator (deferred.sh, rbl.sh, cron-test.log, zimbra-maintenance-cron.sh, malware-kill-cleanup.sh).
  • Whitelist Predicate Mutlak: Skrip admin dan daemon internal Zimbra (zmcontrol, zmlogprocess, zmfixperms, zmswatchctl, zmmailboxdctl) terdaftar kebal pada is_protected_pid(), is_malware_process(), dan is_ir_tool_file().

7. 🐧 CentOS 6, RHEL 6, CentOS 5 & Bash 3.2+/4.1+ Portability Hardening

  • Konstruksi POSIX Murni: Menggantikan operator Bash 4.3+ [[ =~ ]] dengan case "$pid" in ''|*[!0-9]*) ... esac, [ ... ] standard test, dan POSIX grep -Eq.
  • Ketahanan Kernel 2.6.32 Legasi: Pembacaan null-byte /proc/$pid/cmdline via tr '\000' ' ' dan resolusi symlink /proc/$pid/exe via readlink -f dengan fallback aman.
  • Standarisasi Procps 3.2.8: Menggunakan pgrep -lf (kompatibel penuh dari CentOS 6 hingga distro modern).

8. 🧹 Unauthorized Shell Script & Dropper Purge (hunt_and_purge_illegal_shell_scripts)

  • Pemusnahan Total Dropper di Memori & Disk: Mendeteksi dan memusnahkan script shell ilegal (w3.sh, p.sh, d.sh, x.sh, run.sh, up.sh, *.sh, *.bash, *.py, *.pl) di /dev/shm, /tmp, /var/tmp, /opt/zimbra/data/tmp, dan /opt/zimbra/jetty/work.
  • Terminasi Shell Loop & Deskriptor Terhapus: Memutus rantai proses shell wrapper loop (bash, sh, dash, zsh, ksh) dan file descriptor unlinked yang tertahan di memori ((deleted) / lsof +L1).

9. 🎭 Oversized ELF Masquerade Hunter (detect_elf_masquerades_in_shm)

  • Heuristik Biner Samaran: Mendeteksi biner ELF >1MiB di direktori volatil yang menyamar dengan nama service sistem (systemd-resolved, dbus-daemon, polkitd, NetworkManager, rsyslogd, softwaretech) milik user non-root zimbra.
  • Verifikasi Magic Bytes & Manifest: Memvalidasi header \x7fELF, mengekstrak string telemetri, menghitung SHA-256, mengamankan bukti ke $EVIDENCE/elf-masquerades/, mencabut immutable, men-zero permission (chmod 000), dan memusnahkannya secara permanen.

10. 🔒 Crontab Access Immunity & System Lockdown (harden_cron_access_immunity)

  • Whitelist Mutlak /etc/cron.allow & /etc/at.allow: Hanya user root dan zimbra yang diizinkan menggunakan utilitas crontab dan at.
  • Penguncian Hak Akses Direktori: /etc/crontab dikunci ke chmod 600, dan seluruh direktori /etc/cron* serta /var/spool/cron dikunci ke chmod 700 milik root:root.

11. 🛑 Shared Memory Mount Protection (harden_dev_shm_mount_protection)

  • Opsi Kernel nodev,nosuid,noexec: Melakukan live remount dan konfigurasi persisten pada /etc/fstab untuk partisi RAM /dev/shm.
  • Zero-Impact pada Zimbra JVM: Pemetaan memori JVM (hsperfdata_zimbra) via mmap(MAP_SHARED) tetap beroperasi normal.

12. ⚙️ Automated Cron Maintenance Pipeline (zimbra-maintenance-cron.sh v1.0.2)

  • Pipeline Terintegrasi 7-Tahap:
    1. [1/7] Fast malware kill & cleanup (malware-kill-cleanup.sh --cron).
    2. [2/7] Full forensic eradication (eradicate-zimbra-malware.sh --disable-lock-account).
    3. [3/7] Pembukaan kunci akun pengguna (unlock-account.sh).
      ...
Read more

Contributors

cmd
Loading

v2.9.1 — Self-Shield Gate, 58 Threat Subnet Feed, SpamExperts Whitelist & Distro Hardening

v2.9.1 — Self-Shield Gate, 58 Threat Subnet Feed, SpamExperts Whitelist & Distro Hardening

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 26 Aug 15:16
v2.9.1
7d7f874

ZCS Eradicate Malware & Incident Response Suite v2.9.1 (Flagship Enterprise Edition)

Release Highlights & Key Enhancements:

  • 🛡️ IR Script Self-Shield Gate (is_ir_tool_file):
    • Mengeliminasi secara mutlak bug false-positive self-quarantine di mana skrip eradicate-zimbra-malware*.sh terpindah dan direname menjadi .bak di direktori evidence-*/throttle-droppers/.
    • Fungsi is_ir_tool_file() memverifikasi path kanonikal ($CURRENT_SCRIPT), symlink/hardlink inode (-ef "$0"), serta pola nama eradicate-zimbra*, zimbra-malware*, zmfixperms*, dan incident-response* di seluruh alur pemindaian.
  • 🌐 58 Subnet Threat Intelligence Feed (/24 CIDR Blacklist):
    • Mengintegrasikan katalog 58 subnet /24 ancaman aktif (15.235.234.0/24, 45.32.185.0/24, 45.74.7.0/24, 89.117.54.0/24, 185.161.17.0/24, ..., 38.54.95.0/24) ke dalam IOC_IPS tanpa duplikasi.
    • Optimasi pencarian telemetri log Zimbra berbasis prefix oktet jaringan /24 (x.y.z.) untuk menangkap seluruh koneksi host individual penyerang.
    • Penanganan normalisasi /32 pada modul iptables 1.4.7 (CentOS 6).
  • 🛡️ SpamExperts Hosted Cloud Delivery Whitelist:
    • Integrasi penuh 30 subnet dan relay resmi SpamExperts (N-able / delivery.antispamcloud.com dan spf.antispamcloud.com) ke dalam WHITELIST_CIDRS (185.201.16.0/22, 192.69.18.0/24, 192.69.19.0/24, 208.70.90.0/24, 208.70.91.0/24, dll).
    • Teruji 0 tabrakan (zero collision) dengan seluruh daftar IOC IP ancaman.
  • 🐧 CentOS <=7 & Ubuntu <=20.04 Broad Backward Compatibility:
    • Standardisasi pgrep -lf alih-alih pgrep -af untuk mendukung paket procps 3.2.8 bawaan CentOS 6/RHEL 6 tanpa error.
    • Penegasan ketersediaan Bash >= 4.0 (BASH_VERSINFO[0] >= 4).
    • Standardisasi 100% POSIX ERE ([[:space:]]) tanpa PCRE/GNU escapes.
    • Pola mutasi file aman mktemp + grep -Ev + cat tanpa dependensi sed -i -E.
    • Dukungan dual-mode networking (ss / netstat), dual timeout syntax (--signal=KILL / -s KILL), dan dual package manager (rpm / dpkg).
  • 🛡️ Safe Process Kill Contract & Zero False-Positive:
    • Proteksi kernel thread asli Linux ([ksmd], [kworker], [ksoftirqd], [kthreadd]) melalui predikat null cmdline/exe.
    • Mengeliminasi heuristik rentan cwd == /tmp sebagai dasar vonis malware.
    • Memperbaiki false-positive exit 2 pada verifikasi Langkah 19 dan penutup skrip dengan memfilter proses via is_malware_process() bukan pgrep -lf mentah.
  • 🛡️ System Mailbox Protection Shield:
    • Melindungi secara mutlak seluruh akun sistem internal Zimbra (galsync*, virus-quarantine*, spam*, ham*, postmaster, mailer-daemon, root, zimbra, admin) dari auto-lock zmprov saat pembersihan spammer berjalan.
  • ☕ JVM Classpath & Standard JAR Protection:
    • Direktori classpath standar Zimbra (WEB-INF/lib/* dan jetty/lib/*) dikecualikan dari regex Java generik agar file archive .jar bawaan resmi tidak terhapus.
    • File statis webroot (.png, .ico, .js, .css) hanya divonis bila terbukti mengandung tag eksekusi JSP (<% / <jsp:) atau parameter IOC malware terkonfirmasi.
  • 🧹 Swatchdog (CVE-2026-73570) & Postjournal (CVE-2024-45519) Deep Remediation:
    • Sanitasi runtime /opt/zimbra/data/tmp/swatch*, terminasi swatch.pl dan daemon postjournal, penerapan konfigurasi smtp_notify=no, serta pencabutan modul SNMP dari LDAP.
  • 📖 Dokumentasi Lengkap & Standar RFC 2119:
    • DOCNOTE.md: Manual teknis lengkap 17 bab, alur 21-step pipeline, safe kill contract, matriks 18 CVE, dan Best Practices RFC 2119 (MUST, SHOULD, MAY, AVOID).
    • CHANGELOG.md: Riwayat perubahan komprehensif versi 2.0.0 hingga 2.9.1 berstandar Keep-a-Changelog & SemVer.
    • README.md: Ringkasan fitur unggulan, matriks portabilitas distro legasi, dan verifikasi ShellCheck 0 warning.

Cara Menjalankan v2.9.1

# 1. Eksekusi cepat live via curl (rekomendasi):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi live tanpa mengunci akun spammer (hanya pencatatan bukti telemetri):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
chmod 700 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --disable-lock-account

# 3. Eksekusi live dengan perbaikan hak akses dan restart Zimbra bersih di akhir:
sudo ./eradicate-zimbra-malware-20260825.sh --restart-zimbra

Verifikasi Checksum SHA-256

fae4eb1f08b8cdd5f4388157dff0ecc8a5d9e09d5563732bbbb9295282abdf8b  eradicate-zimbra-malware-20260825.sh
fae4eb1f08b8cdd5f4388157dff0ecc8a5d9e09d5563732bbbb9295282abdf8b  eradicate-zimbra-malware-20260825_v2.9.1.sh
fae4eb1f08b8cdd5f4388157dff0ecc8a5d9e09d5563732bbbb9295282abdf8b  eradicate-zimbra-malware.sh
Loading

v2.9.0 — Enterprise Anti-Recurrence, Swatchdog Sanitizer & Spammer Policy Suite

v2.9.0 — Enterprise Anti-Recurrence, Swatchdog Sanitizer & Spammer Policy Suite

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 26 Aug 03:05
v2.9.0
74e9fc9

ZCS Eradicate Malware & Incident Response Suite v2.9.0 (Enterprise Security Edition)

Release Highlights & Key Enhancements:

  • 7200s Fetch Throttle & Multi-Stage Staging Eradication:
    Pembersihan otomatis skrip dropper berkala 2 jam ($_n - $(cat "$_t") -lt 7200) yang mengunduh payload cryptominer ksmd dari 5 server staging bergantian (45.74.7.234, 87.229.64.49, 45.74.7.226, 217.151.99.216, 185.119.90.206) ke /dev/shm/ksmd, serta sterilisasi file state timestamp .t, .ts, .khp_ts.
  • Shell Profile Persistence Sanitizer:
    Mengaudit dan mensterilkan skrip shell profile dan startup (~/.bashrc, ~/.profile, /opt/zimbra/.bashrc, /etc/profile.d/*.sh, /etc/bash.bashrc).
  • Modular Spammer Account Policy (locked_account=0|1):
    Kontrol penuh atas isolasi akun spammer otomatis via zmprov. Administrator dapat mengaktifkan penguncian langsung (default: locked_account=1) atau memilih mode telemetri bukti saja (locked_account=0 / --disable-lock-account / --locked-account=0) tanpa mengubah status akun di LDAP.
  • Anti-Recurrence 12-Vektor & Swatchdog Sanitizer (CVE-2026-73570 / CVE-2024-45519):
    Memutus rantai siklus re-infeksi 1–3 jam akibat pemindaian botnet eksternal yang mengeksploitasi injeksi log Postfix ke daemon swatchdog (zmswatchctl), mematikan proses swatch.pl, menyetel smtp_notify=no via zmlocalconfig, mencabut service SNMP dari zimbraServiceEnabled, dan membersihkan konfigurasi swatchrc.
  • Advanced Webshell & Dropper Eradication:
    Membasmi webshell residu pada direktori JS/Img Zimbra (/opt/zimbra/jetty_base/webapps/zimbra/js/KoTMs3y4.jsp, test.jsp), payload ksmd, aliyun_update, dropper .hta, serta signature Java reflection (XhK5c3HnmbOW, ProcessBuilder, probe canarytokens.com).
  • Kernel Thread Protection (Zero False-Positive):
    Proteksi eksplisit terhadap thread kernel bawaan Linux (seperti daemon KSM memory deduplication [ksmd] dan [kworker]) agar tidak salah ditargetkan selama perburuan cryptominer.
  • Dual Firewall REJECT/DROP Resilience:
    Peningkatan fungsi block_output_cidr() dengan deteksi status ganda dan fallback otomatis ke aksi DROP pada kernel container virtual (LXC/OpenVZ/Docker).
  • Threat Intelligence & C2 Feed Refresh (Agustus 2026):
    Penambahan IP C2 dan node penyerang aktif (45.74.7.234, subnet 45.74.7.0/24, 185.161.17.21, 217.151.99.216, 85.121.177.134, 185.242.3.87, 198.46.142.107, 141.164.36.98, 87.229.64.120, 87.229.64.49, 45.77.42.110, 198.20.133.30, 167.172.73.86, 38.54.95.165, 185.119.90.206).
  • Live Non-Disruptive IR (Langkah 1–21):
    Seluruh 21 fase investigasi forensik, pembunuhan proses malware, perburuan webshell, dan isolasi akun spammer berjalan saat layanan Zimbra aktif tanpa mewajibkan restart di awal.
  • ZCS Permission Healing Engine (Langkah 20):
    Menjalankan perbaikan hak akses otomatis berbasis UID 0 (root) menggunakan /opt/zimbra/libexec/zmfixperms (standar) dan zmfixperms --extended (storage/store/index/data) guna menormalkan izin yang dirusak malware.
  • Multi-Distribution Certification:
    Kompatibilitas penuh lintas platform: Ubuntu (16–24 LTS), Debian (10–12), RHEL (6–9), CentOS (6–9), Rocky Linux (8–9), AlmaLinux (8–9).
  • 100% ShellCheck Compliance:
    0 error dan 0 warning.

Cara Menjalankan v2.9.0

# 1. Eksekusi cepat live via curl (rekomendasi):
curl -fsSL https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh | sudo bash

# 2. Eksekusi live tanpa mengunci akun spammer (hanya pencatatan bukti telemetri):
curl -fsSLO https://raw.githubusercontent.com/alsyundawy/eradicate-zimbra-malware/main/eradicate-zimbra-malware-20260825.sh
chmod 700 eradicate-zimbra-malware-20260825.sh
sudo ./eradicate-zimbra-malware-20260825.sh --disable-lock-account

# 3. Eksekusi live dengan restart Zimbra bersih di akhir:
sudo ./eradicate-zimbra-malware-20260825.sh --restart-zimbra
Loading

v2.8.0 — Enterprise Live Incident Response, Anti-Ransomware & Zimbra Permission Healing

v2.8.0 — Enterprise Live Incident Response, Anti-Ransomware & Zimbra Permission Healing

Choose a tag to compare

View all tags
@alsyundawy alsyundawy released this 25 Aug 15:20
v2.8.0
a1da6d2

ZCS Eradicate Malware & Incident Response Suite v2.8.0 (Enterprise Edition)

  • Live Non-Disruptive IR: Eksekusi 21 langkah forensik, sanitasi webshell, dan pembunuhan proses malware tanpa menghentikan mail server Zimbra.
  • ZCS Permission Healing Engine (Step 20): Otomasi perbaikan hak akses berbasis root UID 0 dengan standard /opt/zimbra/libexec/zmfixperms dan extended zmfixperms --extended.
  • Service Lifecycle Management: Dukungan flag --stop-zimbra, --restart-zimbra, dan --fixperms-only.
  • Advanced Webshell Hunter: Deteksi heuristik JSP RCE, Godzilla, Behinder v3/v4, AntSword, Neo-reGeorg, dan ekstensi tersembunyi.
  • Anti-Ransomware Engine: Mitigasi varian MalasLocker, IceFire ELF, Monti, dan Mallox.
  • Rootkit Sanitization: Audit dan pembersihan konfigurasi linker /etc/ld.so.preload serta pustaka liar.
  • Spammer Account Containment: Penguncian multi-atribut otomatis (locked, passwordLocked, mailStatus disabled, flushCache).
  • 32-bit Integer CIDR Whitelist: Proteksi deterministik subnet korporat kebal dari blokir firewall.
  • Multi-Distribution Support: Kompatibel penuh dengan Ubuntu (16-24), Debian (10-12), RHEL/CentOS (6-9), Rocky Linux (8-9), AlmaLinux (8-9).
  • 100% ShellCheck Compliance: 0 error dan 0 warning.
Loading