Техническая информация
Вредоносные функции:
Получает привилегии суперпользователя (root)
Запускает себя в качестве демона
Запускает процессы:
- /usr/bin/Mail x -s x -c
- /usr/sbin/sendmail send-mail -i -- x
- /usr/sbin/exim4 #-E
- /usr/sbin/exim4 -Mc 1eSmuH-0000BR-E7
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/spool/exim4/input/1eSmuH-0000BR-E7-D
- /var/spool/exim4/input/hdr.709
- /var/spool/exim4/msglog/1eSmuH-0000BR-E7
- /var/spool/exim4/input/1eSmuH-0000BR-E7-J
- /var/mail/user
Создает символические ссылки (симлинки):
- /var/mail/user.lock"
Создает или модифицирует файлы:
- /tmp/mail.RsXXXXTMqUMw
- /tmp/mail.RsXXXX0SYYI9
- /tmp/mail.RsXXXX0SYYI9 (deleted)
- /var/spool/exim4/input//1eSmuH-0000BR-E7-D
- /var/spool/exim4/input/1eSmuH-0000BR-E7-D
- /var/spool/exim4/input//hdr.709
- /var/spool/exim4/input/hdr.709
- /var/spool/exim4/msglog//1eSmuH-0000BR-E7
- /var/spool/exim4/msglog/1eSmuH-0000BR-E7
- /var/log/exim4/mainlog
- /root/dead.letter
- /var/spool/exim4/db/retry.lockfile
- /var/spool/exim4/input//1eSmuH-0000BR-E7-J
- /var/mail/user.lock.box-amd64.5a3e87e2.000002c9
- /var/mail/user
- /var/spool/exim4/input/1eSmuH-0000BR-E7-J
Удаляет файлы:
- /tmp/mail.RsXXXXTMqUMw"
- /tmp/mail.RsXXXX0SYYI9"
- /var/mail/user.lock.box-amd64.5a3e87e2.000002c9"
- /var/mail/user.lock"
- /var/spool/exim4/msglog//1eSmuH-0000BR-E7"
- /var/spool/exim4/input//1eSmuH-0000BR-E7-D"
- /var/spool/exim4/input//1eSmuH-0000BR-E7-H"
- /var/spool/exim4/input//1eSmuH-0000BR-E7-J"
Сетевая активность:
Устанавливает соединение:
- <LOCAL_DNS_SERVER>
DNS ASK:
- bo##amd64
Прочее:
Собирает информацию о CPU
