From 13f06d34483ed0cc29d4136cfed278f518280d22 Mon Sep 17 00:00:00 2001
From: javara999 <javara999@users.noreply.gitea.derekkoo.win>
Date: Thu, 3 Sep 2026 11:24:18 +0900
Subject: [PATCH] Add Korean README

---
 README.ko.md | 121 +++++++++++++++++++++++++++++++++++++++++++++++++++
 README.md    |   3 ++
 2 files changed, 124 insertions(+)
 create mode 100644 README.ko.md

diff --git a/README.ko.md b/README.ko.md
new file mode 100644
index 0000000..c48a6b6
--- /dev/null
+++ b/README.ko.md
@@ -0,0 +1,121 @@
+# malware-watch 설치기
+
+[English](README.md) | **한국어**
+
+`malware-watch`는 프로세스/네트워크 행위 탐지, abuse.ch ThreatFox/MalwareBazaar IOC 피드, 확인된 위협 자동 격리, IOC 방화벽 차단 유지, 선택적 ClamAV 검사를 결합한 서버용 악성코드 감시 도구입니다.
+
+## 구성 파일
+
+- `install.sh` — malware-watch, abuse.ch 피드 업데이트, 자동 격리, IOC 방화벽 복원, systemd 타이머 및 선택적 공식 ClamAV를 설치합니다.
+- `verify.sh` — 설치 상태가 정상인지 검증합니다.
+- `src/` — 설치 시 `/usr/local/sbin/`으로 배포되는 실행 스크립트입니다.
+- `.env` — 설치 설정 파일입니다. 설치 전에 플레이스홀더 값을 실제 값으로 변경해야 합니다.
+
+저장소의 `.env`에는 플레이스홀더만 포함되어야 합니다. 실제 Discord Webhook 또는 abuse.ch Auth-Key를 Git에 커밋하지 마십시오.
+
+## 설치
+
+```bash
+git clone https://github.com/javara999/malware-watch.git
+cd malware-watch
+chmod +x install.sh verify.sh
+nano .env
+sudo ./install.sh
+```
+
+`.env`에서 최소 다음 두 값을 설정해야 합니다.
+
+```bash
+DISCORD_WEBHOOK='디스코드웹훅URL'
+ABUSECH_AUTH_KEY='abuse.ch api 키'
+```
+
+위 두 플레이스홀더를 실제 값으로 변경한 뒤 설치하십시오.
+
+설치 도중 실패했더라도 `install.sh`를 다시 실행할 수 있습니다. 기존 malware-watch 파일은 교체 전에 `/root/security-evidence/malware-watch/install-backup-*` 아래에 백업됩니다.
+
+## 이번에 수정된 ClamAV 설치 문제
+
+새 Ubuntu 서버에서 아직 `clamav` 시스템 계정이 존재하지 않는 경우 기존 설치기가 다음 오류로 중단될 수 있었습니다.
+
+```text
+install: invalid user 'clamav'
+```
+
+현재 설치기는 다음 순서로 처리합니다.
+
+1. 공식 ClamAV 패키지를 먼저 설치합니다.
+2. `clamav` 그룹이 없으면 생성합니다.
+3. `clamav` 시스템 계정이 없으면 생성합니다.
+4. 그 다음 `/var/lib/clamav`를 `clamav:clamav` 소유로 생성합니다.
+
+따라서 신규 Ubuntu 인스턴스에서도 해당 오류 없이 진행하도록 수정되었습니다.
+
+## 설치 검증
+
+```bash
+sudo ./verify.sh
+```
+
+검증 항목:
+
+- 필수 실행 파일 및 설정 파일 존재 여부
+- `/etc/malware-watch/config` 권한
+- malware-watch 및 abuse.ch systemd 타이머 상태
+- ThreatFox / MalwareBazaar 피드 로드 상태
+- ClamAV 설치 및 `clamav` 계정 존재 여부
+- ClamAV 시그니처 DB 상태
+- ClamAV 관련 systemd 타이머 상태
+- `malware-watch.py` 실제 1회 실행
+
+정상 상태의 마지막 출력 예시는 다음과 같습니다.
+
+```text
+Summary: PASS=<숫자> WARN=0 FAIL=0
+```
+
+설치 직후 ClamAV 시그니처가 아직 다운로드되지 않았다면 DB 관련 `WARN` 1개가 일시적으로 표시될 수 있습니다. `FAIL`이 있으면 해당 항목을 수정해야 합니다.
+
+Discord Webhook까지 실제 테스트하려면:
+
+```bash
+sudo ./verify.sh --test-discord
+```
+
+## 수동 상태 확인
+
+```bash
+systemctl status malware-watch.timer --no-pager
+systemctl status malware-feed-update.timer --no-pager
+systemctl status clamav-freshclam-local.timer --no-pager
+systemctl status clamav-risk-scan.timer --no-pager
+systemctl status clamav-deep-scan.timer --no-pager
+systemctl list-timers --all --no-pager | grep -E 'malware-watch|malware-feed-update|clamav-'
+```
+
+주요 로그 확인:
+
+```bash
+journalctl -u malware-watch.service -n 100 --no-pager
+journalctl -u malware-feed-update.service -n 100 --no-pager
+journalctl -u clamav-risk-scan.service -n 100 --no-pager
+journalctl -u clamav-deep-scan.service -n 100 --no-pager
+journalctl -u clamav-freshclam-local.service -n 100 --no-pager
+```
+
+## 주요 동작
+
+- 1분 간격으로 프로세스와 네트워크를 검사합니다.
+- ThreatFox IOC 및 MalwareBazaar SHA256과 비교합니다.
+- `/tmp`, `/var/tmp`, `/dev/shm` 실행 파일, 삭제된 실행 파일, 알려진 miner 이름, 비정상적으로 높은 CPU 사용 등을 점수화합니다.
+- 단순 휴리스틱만으로는 자동 삭제하지 않습니다.
+- MalwareBazaar 해시 일치 등 확인도가 높은 경우에만 자동 격리를 수행합니다.
+- 확인된 IOC IP는 호스트 및 Docker 트래픽에서 차단할 수 있습니다.
+- 증거와 격리 파일은 `/root/security-evidence/` 아래에 보관합니다.
+
+## 보안 주의사항
+
+- 실제 Discord Webhook과 abuse.ch Auth-Key는 Git에 올리지 마십시오.
+- 설치된 `/etc/malware-watch/config` 권한은 `600`이어야 합니다.
+- `.env` 실사용 파일을 별도로 관리하려면 `.env.local`, `.env.secret`, `.env.real` 같은 무시 대상 파일명을 사용하는 것을 권장합니다.
+- 자동 격리는 확인된 악성코드에만 적용되며 일반적인 고점수 휴리스틱 탐지는 알림 위주로 처리합니다.
diff --git a/README.md b/README.md
index bdb0072..be2f4cd 100644
--- a/README.md
+++ b/README.md
@@ -1,5 +1,8 @@
 # malware-watch installer
 
+**English** | [한국어](README.ko.md)
+
+
 `malware-watch` combines process/network behavior detection, abuse.ch ThreatFox/MalwareBazaar IOC feeds, confirmed-threat automatic quarantine, persistent IOC firewall blocking, and optional ClamAV scanning.
 
 ## Files