Tek bir komuttan çok, art arda gelen adımların oluşturduğu bir zincir, bir saldırganın niyetini çok daha net gösterir. SSH honeypot'umuzda yakaladığımız bu vaka, klasik bir botnet taramasından daha karmaşık, hedefli bir persistence (kalıcılık) girişiminin tüm aşamalarını içeriyor.
Adım 1: Sistem Parmak İzi Çıkarma
130.12.180.x adresinden gelen saldırgan, honeypot'a bağlandıktan hemen sonra uname -a komutuyla sistemin işletim sistemi ve mimarisini sorguladı. Bu, daha önceki bültenlerimizde de gördüğümüz standart bir ilk adım — saldırgan, hangi ortamda olduğunu bilmeden ilerlemek istemiyor.
Adım 2: "Başarı" Sinyali
Fingerprinting'in hemen ardından, saldırgan bir kontrol sinyali gönderdi — komuta enjekte edilmiş bir dizeyle kendi otomasyon aracına "bu sistem hazır, devam edebilirsin" mesajı iletildi. Bu tür sinyaller, komple otomatikleştirilmiş bir saldırı zincirinin parçası olduğunu gösteriyor; muhtemelen çok sayıda hedefe karşı paralel çalışan bir script.
Adım 3: Kendi SSH Anahtarını Yerleştirme Girişimi
En dikkat çekici adım burasıydı: saldırgan, /tmp veya /dev/shm gibi geçici dizinlerden birine geçip, kendi ürettiği bir SSH özel anahtarını dosya olarak yazmaya çalıştı. Amaç, bu anahtarı sisteme kalıcı olarak yerleştirip ileride şifre girmeden, doğrudan SSH anahtarıyla tekrar erişim sağlamak — klasik bir persistence (kalıcılık) tekniği. Honeypot'umuz bu girişimi güvenli şekilde gözlemledi; gerçek bir dosya sistemi olmadığı için anahtar hiçbir zaman gerçek anlamda "yerleşmedi", ama tüm girişim eksiksiz kaydedildi.
Adım 4: Malware İndirme
Son adımda saldırgan, harici bir sunucudan (217.60.195.x) bir shell script indirmeye çalıştı. Honeypot'umuzun SSRF korumalı indirme mekanizması dosyayı güvenli şekilde alıp SHA256 hash'ini çıkardı — dosya hiçbir zaman diske yazılmadı veya çalıştırılmadı. Bu hash'i MalwareBazaar'a sorguladığımızda, dosyanın zaten bilinen bir zararlı yazılım veritabanında kayıtlı olduğunu doğruladık.
Neden Önemli
Bu vaka, tek bir IOC'den (gösterge) çok daha fazlasını temsil ediyor — sistem keşfi, otomasyon sinyali, persistence girişimi ve malware teslimatını içeren komple bir saldırı zinciri (kill chain). Bu tür çok adımlı verinin değeri, sadece "bu IP kötü" demekle kalmayıp, saldırganın tam olarak nasıl çalıştığını göstermesinde yatıyor — savunma ekipleri için çok daha zengin bir bağlam.
Yakalanan hash, doğrulama sürecinden geçtikten sonra malware örnekleri sayfamızda ve SiberKapan'ın MISP feed'inde yer alıyor.
A chain of sequential steps reveals an attacker's intent far more clearly than any single command. This case, captured by our SSH honeypot, shows every stage of a targeted persistence attempt — more sophisticated than a typical botnet scan.
Step 1: System Fingerprinting
An attacker from 130.12.180.x connected to our honeypot and immediately ran uname -a to query the system's OS and architecture. This is the same standard first step we've seen in previous bulletins — the attacker doesn't want to proceed without knowing what environment they're in.
Step 2: A "Success" Signal
Right after fingerprinting, the attacker sent a control signal — a string injected into the command output to tell their own automation tool "this system is ready, proceed." Signals like this indicate a fully automated attack chain, likely a script running in parallel against many targets.
Step 3: Attempting to Plant Their Own SSH Key
The most notable step: the attacker moved into a temporary directory like /tmp or /dev/shm and attempted to write a self-generated SSH private key to a file. The goal was to plant this key persistently, allowing future access via the key alone rather than a password — a classic persistence technique. Our honeypot safely observed this attempt; since there's no real filesystem, the key was never actually "planted," but the entire attempt was fully logged.
Step 4: Downloading Malware
In the final step, the attacker attempted to download a shell script from an external server (217.60.195.x). Our honeypot's SSRF-protected download mechanism safely retrieved the file and computed its SHA256 hash — the file was never written to disk or executed. Querying that hash against MalwareBazaar confirmed the file was already registered in a known malware database.
Why This Matters
This case represents far more than a single IOC — it's a complete attack chain covering system discovery, an automation signal, a persistence attempt, and malware delivery. The value of this kind of multi-step data isn't just labeling "this IP is bad" — it's showing exactly how the attacker operates, giving defenders far richer context.
Once verified, the captured hash appears on our malware samples page and in SiberKapan's MISP feed.