Ловушка с фейковыми H100: 1 846 подключений ботов за 12,5 часов

Разбор новинки простыми словами: что это, кому нужно и брать ли.

Открытый SSH с паролем root остаётся главным вектором взлома: сервер с GPU-обвесом — приманка для майнер-ботнетов, а не «шум в логах», который уберёт fail2ban.

Связанные услуги: каталог, AI Boost Team, стать клиентом.

Шесть минут после запуска — и в ловушке уже сидит первый чужой бот. Дальше двенадцать с половиной часов: 1 846 подключений, 126 разных адресов, 1 524 введённые команды, 219 скачанных файлов. За всем этим нет ни одной настоящей видеокарты. Есть поддельный SSH-сервер, который притворяется машиной для обучения нейросетей на четырёх H100, и очередь желающих на этой машине подзаработать.

Разбор собрал автор на Хабре под ником stackworks. Ценность тут не в хайпе вокруг GPU, а в ответе на вопрос, который обычно задают вполсилы: что бот делает после того, как пароль подошёл.

Что именно собрали

Взяли Cowrie — питоновскую ловушку, которой больше десяти лет. Внутри нет нейросети: файловая система заготовлена, команды эмулируются кодом или отдают заранее записанный вывод. Зато ловушка предсказуема, ничего не стоит в работе и пишет всё подряд — попытки входа, каждую команду, каждый скачанный файл. Файлы сохраняются отдельно и никогда не запускаются, сессию можно проиграть как запись терминала.

Сначала хотели модное решение — фейковый SSH, который отвечает на команды через языковую модель, как Beelzebub. Отказались. И правильно: генеративный сервер красиво врёт, но воспроизвести его поведение через неделю вы не сможете.

Схема простая. Настоящий sshd пускает только своих. Остальных файрвол на 22 порту незаметно перенаправляет в Cowrie. Проброс портов выключен, скачивание ограничено десятью мегабайтами.

Отдельная деталь, которую недооценивают: авторизация. Из коробки Cowrie пускает почти с любым паролем, и бот быстро понимает, где он. Автор написал свой класс: новый адрес пускается не сразу, а после двух-пяти случайных неудач, и дальше проходит только закреплённая пара логин-пароль. Как на живом сервере, где пароль действительно один.

Первый чужой бот пришёл через шесть минут после запуска.

Приманка и три прокола

Легенду собрали через эталонный Debian 12: 128 ядер AMD EPYC 7763, терабайт памяти, четыре NVIDIA H100 80GB, NVMe на 3,5 ТБ и 28 ТБ под данные. В top крутится обучение, в домашнем каталоге история команд, в /data/models чекпоинты, в /opt/ml/.env ключи от облаков. Ключи фейковые и помеченные. Для майнера такая машина выглядит как джекпот.

Дальше началось скучное. Автор прогнал через ловушку настоящие скрипты ботов из её же журнала — и она села в лужу трижды.

• grep в Cowrie понимал только -q и -m. Боты массово делают lspci | grep -i nvidia, и сервер с четырьмя H100 отвечал пустой строкой. Дописали -i, -v, -c, -w, -F — тот же скрипт увидел 128 ядер и четыре карты.
• В Debian 12 каталог /bin это ссылка на /usr/bin, а готовые ответы Cowrie лежали по старым путям. Команда без эмуляции отвечала «cannot execute binary file: Exec format error». На живом Debian такого не бывает.
• hostname возвращал одно имя, файл /etc/hostname содержал другое.

Вывод nvidia-smi заготовлен заранее, поэтому время в его шапке не меняется никогда. На sort, screen, tmux и gzip ловушка отвечает неправдоподобно. Внимательный человек её раскусит. Боты — нет.

Что творилось внутри

Две трети трафика, 1 198 подключений из 1 846, сделал один адрес. Программа представлялась клиентом на Go и тупо шла по словарю: подключилась, пара логин-пароль, отключилась. Почти тысяча двести раз. Вошла один раз и дальше упиралась в закреплённую пару. Разведки ноль.

Логин почти всегда root — 728 попыток из 1 711. Пароли из категории, которой десять лет: 123456, 345gs5662d34 и подобное. Это не изощрённый взлом. Это проверка, не забыли ли вы выключить самое очевидное.

Интереснее те, кто вошёл и начал работать. Из 65 адресов, которые вводили команды, 59 выполнили один и тот же сценарий слово в слово. За четыре-пять минут и 18–27 команд: снести .ssh, поставить свой ключ, сменить пароль root, убить чужие майнеры, прописать cron, скачать архив dota. Комментарий в ключе — mdrfckr, его связывают с группой Outlaw, активной с 2018 года.

Архив dota разбирали в Elastic. Внутри майнер, бэкдор с управлением через IRC и модуль перебора SSH для поиска новых жертв. Замкнутый цикл: заразил, добыл доступ, пошёл дальше. Пароль root в ловушке сменился 42 раза — боты вытесняли друг друга.

Кому это нужно и что делать

Владельцу любого сервера с белым адресом. Особенно если на нём GPU, много памяти и доступ по паролю. Такую машину не «пошумят и отстанут». Её берут под майнинг за ваш счёт и оставляют бэкдор, чтобы вернуться.

fail2ban проблему не закрывает. Он тормозит перебор, но не мешает пройти по одному подобранному паролю и не мешает боту, который уже внутри, вычищать конкурентов.

Практический минимум: запрет входа root по паролю, только ключи, sshd на нестандартном порту не спасает, но снижает фоновый шум, отдельный пользователь с sudo, контроль cron и authorized_keys, алерт на смену пароля и на новые ключи. Ловушка вроде Cowrie — дешёвый способ увидеть, чем именно интересуются снаружи, но это разведка, а не защита.

Подвох в цифрах. 175 успешных входов говорят о настройке ловушки, а не о стойкости паролей: она пускает любого, кто достаточно настойчив. Не читайте эти числа как статистику взломов по рынку.

Вердикт за 30 секунд

• GPU-сервер с открытым SSH и паролем root — не «шум в логах», а адресная приманка для майнер-ботнета.
• Главный сценарий одинаков у 59 из 65 адресов: ключ, пароль root, cron, майнер, бэкдор. Такой набор приходит за пять минут.
• Cowrie полезна как разведка и как способ проверить свою паранойю. Защитой её не считайте.

Ничего сенсационного в этой истории нет, и в этом её сила. Боты не ищут дыры в ядре. Они ищут root:123456 на машине, которую забыли закрыть, потому что «там же ничего ценного». Ценное — это четыре H100, которые вы арендуете, и канал, который вы оплачиваете. Майнер считает это достаточной причиной.

Вопросы, которые задают чаще всего

Нужна ли ловушке нейросеть?

Для эмуляции сервера — нет, она врёт непоследовательно и дороже в поддержке. Автор использовал модель иначе: служба читает журнал Cowrie и присылает в Telegram каждый вход и каждую команду с коротким разбором, а по закрытии сессии — полную запись. Читать проще, чем логи.

Можно ли ставить Cowrie на боевой сервер?

Рядом, не вместо. Ловушка живёт за файрволом на отдельном порту и не должна иметь выхода наружу — иначе из неё сделают прокси. Файлы в ней сохраняются и не запускаются, но изолировать её всё равно надо.

Сработает ли смена порта SSH?

Против массового словарного перебора — частично. Против того, кто уже вошёл, — никак. Приоритет один: ключи вместо паролей и root без прямого входа.

Проверьте свой сервер сегодня, без ловушек и красивых цифр. Одна команда покажет, разрешён ли root по паролю, одна — кто лежит в authorized_keys. Если ответ вам не нравится, менять это стоит раньше, чем у вас появится первая GPU-машина.