16.10.2026, 07:43 UTC · 12 Befehle · über ssh · Niederlande · 8× wiederholt
user='Administrator' pass='nexux' Administrator@srv01:~$ uname -m | awk '{printf $1}' x86_64 Administrator@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v3/4th Gen Core Integrated Graphics Controller (rev 06) Administrator@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz Administrator@srv01:~$ curl ipinfo.io/org AS14618 Administrator@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found Administrator@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found Administrator@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 Administrator@srv01:~$ uname -n | awk '{printf $1}' web01 Administrator@srv01:~$ echo nexux > /tmp/d.log Administrator@srv01:~$ scp -qt "/var/tmp/LoinjMfL" Administrator@srv01:~$ scp -qt "/tmp/LoinjMfL" Administrator@srv01:~$ scp -qt "/dev/shm/LoinjMfL"
Der Angreifer meldete sich über SSH mit dem Benutzer Administrator und dem Passwort nexux an. Er führte eine Reihe von Befehlen aus, um die Hardware des Systems, insbesondere die Grafikkarten und die CPU, zu identifizieren. Anschließend versuchte er, Dateien in verschiedene temporäre Verzeichnisse zu kopieren, was auf eine Payload-Installation hindeutet.
Die Befehle uname, lspci und lscpu dienen der Identifikation der Architektur, der Grafikkarten und des Prozessormodells. Der curl-Befehl prüft die Internetverbindung und die zugehörige Organisation des Hosts. nvidia-smi und lspci werden genutzt, um die Anzahl und Typen der verfügbaren GPUs zu zählen, wobei nvidia-smi hier fehlte. Der echo-Befehl schreibt das Passwort in eine Logdatei, was möglicherweise der Protokollierung oder einem Test dient. Die scp-Befehle versuchen, Dateien in versteckte oder flüchtige Speicherorte wie /tmp, /var/tmp und /dev/shm zu übertragen, um Persistenz zu erreichen.
Das Ziel ist vermutlich die Rekrutierung des Systems für ein Botnetz oder das Kryptomining, da die Hardware-Erkennung auf GPU-Ressourcen abzielt. Die Wiederholung des Angriffs und die spezifische Suche nach NVIDIA- oder Radeon-Grafikkarten deuten darauf hin, dass der Angreifer nur leistungsfähige Rechenknoten für ressourcenintensive Aufgaben wie Mining oder DDoS-Angriffe sucht.
Dieses Muster ist typisch für automatisierte Botnet-Scanner, die nach kompromittierten Systemen mit spezifischer Hardware für Mining-Zwecke suchen.