Find Suspicious Network Connections in Memory
侵害されたホスト `kinoco-app03` のメモリイメージから、ソケット一覧 `/challenge/netstat_dump.txt` と、ESTABLISHED のソケットを持つプロセスごとのヒープ領域 `/challenge/heap_carve/pid_<PID>.bin` を復元しました。 カーネルスレッドに偽装した不審なプロセス（インプラント）が外部の C2 サーバーと通信していて、ビーコン設定（フラグを含む）をヒープに、平文ではない形で隠し持っています。ソケット一覧からそのプロセスを特定し、ヒープから設定を取り出してください。ほかのヒープには、フラグに似たおとりの文字列が混ざっています。 使えるツール: python3, grep, strings, xxd, awk
netstat_dump.txt で、ESTABLISHED かつ接続先が外部（プライベートでない）IP で、80/443 以外のポートの行を探します。カーネルスレッドの名前（[kworker/...]）が TCP の外向き接続を持つのは不自然です。
その行の PID の heap_carve/pid_<PID>.bin だけは、strings しても意味のある文字列が出てきません。設定が XOR で隠されています。
XOR の鍵は、その接続の相手先を表す文字列（IP:ポート）で、ヒープの先頭から繰り返し使われています。
