Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /var/spool/cron/crontabs/root
Вредоносные функции:
Запускает процессы:
- sh -c crontab -l | grep <SAMPLE_FULL_PATH>|| (crontab -l ; echo \"* * * * * <SAMPLE_FULL_PATH>\") | crontab -
- crontab -l
- grep <SAMPLE_FULL_PATH>
- crontab -
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/spool/cron/crontabs/tmp.Ino9LI
Создает или модифицирует файлы:
- /var/spool/cron/crontabs/tmp.Ino9LI
- /var/spool/cron/.url
- /root/.url
Сетевая активность:
Ожидает входящих соединений на портах:
- 0.0.0.0:28476
Устанавливает соединение:
- 127.0.0.1:28476
- <LOCAL_DNS_SERVER>
- 13#.#.24.153:8080
- 19#.##.105.73:8080
- 13#.#.24.153:8081
- 13#.#.24.153:80
- 19#.##.105.73:8081
- 19#.##.105.73:80
- 11#.#.55.199:8080
- 11#.#.55.199:8081
- 11#.#.55.199:80
Проводит атаку перебором по словарю (брутфорс) по протоколу SSH.
Связывается по протоколу IRC со следующими серверами:
- Server: 18#.#1.146.112; Command: NICK QJKCDV\nUSER EYFJOF localhost localhost :AJCNJDR\n
- Server: 18#.#1.146.112; Command: MODE QJKCDV -xi\n
- Server: 18#.#1.146.112; Command: JOIN #x86 :\n
- Server: 18#.#1.146.112; Command: JOIN #ssh :\n
- Server: 18#.#1.146.112; Command: JOIN #ssh2 :\n
- Server: 18#.#1.146.112; Command: WHO QJKCDV\n
DNS ASK:
- 45######9416fdsqfdsqfdsq.ru
