ogurexxx open to work
RU EN
← cd ~

ogurexxx@root:~$ less case-2026-W44.log

Расследование недели

Ниже — журнал настоящей сессии бота, который на этой неделе «взломал» ловушку на моём сервере. Адреса и ссылки скрыты, всё остальное — как было. Разберитесь, что он делал, и ответьте на вопросы. Задачу каждую неделю составляет сам сайт — из свежих атак.

case-2026-W44.log · 2026-10-29 20:21

[2026-10-29 20:21] новое подключение · SSH-2.0-libssh_0.11.1

[2026-10-29 20:21] вход выполнен: root

root@srv-backup01:~# cd ~ && rm -rf .ssh && mkdir .ssh && echo <arg> && chmod -R <arg> ~/.ssh && cd ~

root@srv-backup01:~# cat /proc/cpuinfo | grep name | wc -l

root@srv-backup01:~# echo <str> | chpasswd | bash

root@srv-backup01:~# rm -rf /tmp/secure.sh; rm -rf /tmp/auth.sh; pkill -9 secure.sh; pkill -9 auth.sh; echo > /etc/hosts.

root@srv-backup01:~# cat /proc/cpuinfo | grep name | head -n 1 | awk <str>

root@srv-backup01:~# free -m | grep <arg> | awk <str>

root@srv-backup01:~# ls -lh <arg> <arg>

root@srv-backup01:~# crontab -l

root@srv-backup01:~# w

root@srv-backup01:~# uname -m

root@srv-backup01:~# cat /proc/cpuinfo | grep model | grep name | wc -l

[+28 с] соединение закрыто

1. Что бот выяснял или делал первым делом?
2. Какая цель у этого бота?
3. Сколько команд выполнил бот?
4. Какую технику ATT&CK бот НЕ использовал?
5. Каким SSH-клиентом подключался бот?

Показать ответы
  1. Смена прав на файлы — Первая значимая команда — Смена прав на файлы, техника T1222.002.
  2. Закрепление ключом — Цель определяется по самому «дальнему» действию в цепочке: то, ради чего бот вообще заходил.
  3. 11 — Посчитайте строки с приглашением root@… в журнале.
  4. Сетевые настройки — Остальные три есть в цепочке — их можно сопоставить с командами.
  5. SSH-2.0-libssh_0.11.1 — Клиент виден в самом начале сессии — в строке версии протокола. Go и libssh — типичный признак автоматических ботов.

Посмотреть, как боты атакуют в реальном времени, — Прямой эфир ловушки. Новая задача — каждый понедельник.