Тут вышло интереснее, чем кажется. nvidia-smi он не вызывал ни разу, /dev/nvidia*, lsmod и /proc/driver/nvidia тоже. Его скрипт ищет видеокарты только через lspci | grep -i vga и lspci | grep -i nvidia (и то же через busybox), плюс nproc, модель процессора, last и проверку, что оболочка умеет запускать скрипты. Так что таблица nvidia-smi ему была не нужна.
Зато в записях нашлась моя ошибка. grep в Cowrie 3.1.3 молча игнорировал -i, поэтому lspci | grep -i nvidia возвращал пусто, и первые 34 захода разведчик видел строку GPU пустой. Я пропатчил grep в 17:47 UTC, после этого он пришёл ещё 4 раза и уже видел четыре H100. Последний заход в 17:52, с тех пор тишина. Почему пропал, не знаю. Может, отчёт ушёл дальше, и следующий шаг за другой частью сети. А может, смутило, что карты в выводе задвоены: lspci и busybox lspci отвечают одинаково.
Заодно поправлю себя выше: я писал, что разведчика привлёк nvidia-smi, а он его не вызывал и 34 раза из 38 видел машину вообще без видеокарт. Абзац в статье тоже исправил.
Ваши проверки (/dev/nvidia*, lsmod, версия драйвера, согласованная с nvidia-smi) добавлю, спасибо, это хороший список того, где ловушка ещё может проколоться.
Бывает, но это не катастрофа. Домашний сервер чинится монитором и клавиатурой, а у VPS/VDS у хостеров в панели есть VNC-консоль: заходишь как с локального экрана и правишь правила. Только пароль для входа с консоли надо иметь, если по SSH пускаешь лишь по ключам.
Так тоже делают, это называется high-interaction honeypot, и для разбора конкретного вредоноса он лучше. Но у настоящей машины свои минусы. За эти 30 минут бот успеет запустить майнер или начать перебирать чужие серверы уже с вашего адреса, и жалобы на абузу придут вам. Значит, надо резать исходящий трафик, а тогда бот сразу видит, что сеть не работает.
Снимок диска покажет, что осталось после сеанса, но не покажет порядок команд, а нам был интересен как раз сценарий: что бот проверяет первым и что решает после этого. И главное для нас: на дешёвой виртуалке нет видеокарт. Разведчик, который заходил 38 раз, искал именно GPU, и без четырёх «H100» в выводе nvidia-smi мы бы его, скорее всего, вообще не увидели. Cowrie ничего чужого не исполняет, пишет каждую команду в JSON, а скачанные файлы складывает в отдельную папку. Для статистики за ночь этого хватило.
Тут вышло интереснее, чем кажется. nvidia-smi он не вызывал ни разу, /dev/nvidia*, lsmod и /proc/driver/nvidia тоже. Его скрипт ищет видеокарты только через lspci | grep -i vga и lspci | grep -i nvidia (и то же через busybox), плюс nproc, модель процессора, last и проверку, что оболочка умеет запускать скрипты. Так что таблица nvidia-smi ему была не нужна.
Зато в записях нашлась моя ошибка. grep в Cowrie 3.1.3 молча игнорировал -i, поэтому lspci | grep -i nvidia возвращал пусто, и первые 34 захода разведчик видел строку GPU пустой. Я пропатчил grep в 17:47 UTC, после этого он пришёл ещё 4 раза и уже видел четыре H100. Последний заход в 17:52, с тех пор тишина. Почему пропал, не знаю. Может, отчёт ушёл дальше, и следующий шаг за другой частью сети. А может, смутило, что карты в выводе задвоены: lspci и busybox lspci отвечают одинаково.
Заодно поправлю себя выше: я писал, что разведчика привлёк nvidia-smi, а он его не вызывал и 34 раза из 38 видел машину вообще без видеокарт. Абзац в статье тоже исправил.
Ваши проверки (/dev/nvidia*, lsmod, версия драйвера, согласованная с nvidia-smi) добавлю, спасибо, это хороший список того, где ловушка ещё может проколоться.
Уже сделано.
Ну в общем вы сами ответили на свой вопрос)).
Бывает, но это не катастрофа. Домашний сервер чинится монитором и клавиатурой, а у VPS/VDS у хостеров в панели есть VNC-консоль: заходишь как с локального экрана и правишь правила. Только пароль для входа с консоли надо иметь, если по SSH пускаешь лишь по ключам.
Ну в общем вы сами ответили на свой вопрос)).
Так тоже делают, это называется high-interaction honeypot, и для разбора конкретного вредоноса он лучше. Но у настоящей машины свои минусы. За эти 30 минут бот успеет запустить майнер или начать перебирать чужие серверы уже с вашего адреса, и жалобы на абузу придут вам. Значит, надо резать исходящий трафик, а тогда бот сразу видит, что сеть не работает.
Снимок диска покажет, что осталось после сеанса, но не покажет порядок команд, а нам был интересен как раз сценарий: что бот проверяет первым и что решает после этого. И главное для нас: на дешёвой виртуалке нет видеокарт. Разведчик, который заходил 38 раз, искал именно GPU, и без четырёх «H100» в выводе nvidia-smi мы бы его, скорее всего, вообще не увидели. Cowrie ничего чужого не исполняет, пишет каждую команду в JSON, а скачанные файлы складывает в отдельную папку. Для статистики за ночь этого хватило.