Что делают боты, получив доступ к серверу с четырьмя H100: эксперимент с фейковым SSH

Любой администратор сервера с публичным IP-адресом знаком с бесконечным потоком записей в журнале SSH: Failed password for root, Invalid user admin, строка за строкой, с адресов по всему миру. Обычно на это смотрят как на фоновый шум, который инструменты вроде fail2ban отсеивают автоматически. Но группа исследователей решила пойти дальше и задалась вопросом: а что именно собираются делать эти боты, если им удастся подобрать пароль?

Чтобы получить ответ, они развернули подставной сервер и намеренно открыли доступ по SSH со слабыми учётными данными. Главной приманкой стали четыре графических ускорителя NVIDIA H100 — одни из самых мощных на рынке, способные эффективно майнить криптовалюту или выполнять задачи искусственного интеллекта. Сервер не содержал никаких реальных данных и был изолирован от остальной инфраструктуры.

Как только боты проходили аутентификацию, их действия записывались и анализировались. Первым делом практически каждый из них выполнял стандартные разведывательные команды: uname -a для определения операционной системы, lscpu для получения информации о процессоре и, что особенно важно, nvidia-smi для проверки наличия и состояния GPU. Увидев в выводе четыре H100, боты немедленно переходили к активным действиям.

Абсолютное большинство сценариев сводилось к попыткам загрузить и запустить майнеры криптовалют. Чаще всего это были скрипты для добычи Monero, реже — Ethereum или других монет. Боты скачивали исполняемые файлы с удалённых серверов, настраивали их на скрытую работу в фоне и добавляли в автозагрузку.

Некоторые экземпляры пытались майнить напрямую через GPU, используя CUDA-совместимые программы. Помимо майнинга, исследователи зафиксировали несколько более сложных схем. Отдельные боты устанавливали прокси-серверы и SOCKS-туннели, превращая захваченный сервер в промежуточный узел для дальнейших атак или обхода блокировок.

Другие пытались развернуть скрытые сервисы Tor или даже настраивали reverse shell для постоянного удалённого доступа. За всё время наблюдений, которое длилось несколько недель, ни один бот не проявил интереса к файловой системе или попыткам похитить данные. Их не привлекали ни конфигурационные файлы, ни личные документы — только вычислительные ресурсы.

Это подтверждает, что массовые SSH-сканирования нацелены прежде всего на создание ботнетов для майнинга и проксирования трафика. Любопытно, что боты демонстрировали адаптивное поведение. Если запуск майнера блокировался антивирусом или ограничениями среды, они пробовали альтернативные методы монетизации: от установки скрытых DNS-резолверов до участия в DDoS-атаках.

Один из ботов даже попытался использовать GPU для взлома паролей, запустив hashcat. Эксперимент наглядно показал, что наличие мощных GPU делает сервер особенно привлекательной целью. Даже простейший пароль вроде «admin» или «password» может привести к полной загрузке дорогостоящего оборудования посторонними процессами.

При этом стандартные средства защиты, ориентированные на предотвращение утечек данных, не всегда эффективны против такого типа угроз. Исследователи подчёркивают, что защита SSH-доступа должна быть комплексной: отключение входа по паролю и переход на ключи, настройка строгих правил файрвола и регулярный мониторинг запущенных процессов. В противном случае сервер с H100 рискует стать частью чужой майнинговой фермы, принося прибыль злоумышленникам и счета за электричество владельцу.