의미 없는 악성 코드로 내 .ssh/id_rsa를 다시 작성한 이유는 무엇입니까?

이것은 공격의 시그니처를 더 잘 식별할 수 있도록 일종의 해킹에서 비롯된 경우를 대비해 공유하고 싶었던 다소 이상한 이야기입니다.

저는 웹 개발자이고 Ubuntu 20.04를 실행하고 있으며 내 컴퓨터의 docker에서 이상한 작업을 실행하고 있습니다. VSC에는 품질이 의심스러운 개발 확장이 많이 있습니다. 나는 어디에서나 ansible Python venvs 등을 사용합니다. SSH 에이전트를 사용하고 있으며 내 SSH 키는 비밀번호로 보호되어 있으며 자동 로그인 후에는 SSH 키를 해독하지 않습니다.

어제는 평소처럼 일하고 밤에는 컴퓨터를 껐습니다. 오늘은 이 메시지를 사용하여 SSH를 통해 원격 컴퓨터에 연결할 수 없습니다.

sign_and_send_pubkey: signing failed for RSA "/home/xxxxx/.ssh/id_rsa" from agent: agent refused operation
[email protected]: Permission denied (publickey).

약간의 조작 끝에 개인 키를 확인했는데 놀랍게도 개인 키가 파괴되었습니다.

$ cat ~/.ssh/id_rsa
-e 

-e파일 내용이었는데 가장 행복한 순간은 아니었지만 콜드 백업이 있어서 잠시 후 다시 작업을 하게 되었습니다.

하지만 나는 잠을 잘 수가 없었고, 어떻게 이런 일이 일어났는지 몰랐습니다. 최근에 새 키를 생성한 적도 없고 .ssh/파일을 수동으로 조작한 적도 없습니다.

id_rsa내가 작업하는 동안 의 타임스탬프는 어제 정오이고 known_hosts타임스탬프도 동일하며 그 안의 다른 파일에도 .ssh/합법적인 기록 타임스탬프가 있습니다. 그 무렵 나는 오래된 기계에 SSH를 연결하고 있었기 때문에 known_hosts파일을 만질 이유가 전혀 없었습니다 .

id_rsa이와 같은 말도 안되는 일을 무시 하게 되는 상황을 생각할 수 있는 사람이 있습니까 -e? 제가 사용하는 일부 도구에 악성 코드가 있다는 사실에 편집증이 생겼습니다. 아니면 확실히 내 부분에서 인간의 실수가 있지만 일반적으로 경계합니다. 당신의 생각에 감사드립니다.

---

편집하다:

1. 내 구성이 최적 이 bash_history아니기 때문에 내 구성이 불완전합니다 bash.tmuxhttps://askubuntu.com/questions/80371/bash-history-handling-with-multiple-terminals/80882. 따라서 불행하게도 특정 명령을 추적하는 것은 불가능합니다.

2. 기반으로답변VSCode가 -예를 ~/.config/Code/User/History/-707c1648들어 . 처리 중인 파일. 이로 인해 git 명령과 VSCode에서 임시로 생성된 파일 사이에 충돌이 있을 수 있다는 가설이 생겼습니다. 이를 추적하려면 특별한 주의가 필요합니다.