Техническая информация
Вредоносные функции:
Запускает себя в качестве демона
Подменяет имя приложения на:
- bpymnttn
- [kthrtld]
- crdsle
Запускает процессы:
- sh -c /tmp/nveyqobx brnwev &
- /tmp/nveyqobx brnwev
- sh -c /tmp/xteldtql &
- /tmp/xteldtql
- sh -c /tmp/wyrgffym crdsle &
- /tmp/wyrgffym crdsle
Завершает системные процессы:
- sshd
Завершает следующие процессы:
- run.sh
- bash
- (sd-pam)
- systemd
- cron
- rpc.idmapd
- rpcbind
- dhclient
- systemd-udevd
- systemd-journal
- kworker/u2:0
- systemd-cgroups
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /tmp/nveyqobx
- /tmp/xteldtql
- /tmp/wyrgffym
Создает или модифицирует файлы:
- /tmp/wrw
- /tmp/nveyqobx
- /tmp/xteldtql
- /tmp/.tmp
- /tmp/wyrgffym
Удаляет файлы:
- /tmp/nveyqobx
- /tmp/xteldtql
- /tmp/wyrgffym
Устанавливает блокировку (lock) на файлы:
- /tmp/wrw
- /tmp/.tmp
Сетевая активность:
Устанавливает соединение:
- 95.###.153.229:7777
HTTP GET-запросы:
- 18#.##5.169.6/d/sss
- 18#.###.169.6/d/lmmml
Посылает данные следующим серверам:
- 95.###.153.229:7777
Получает данные от следующих серверов:
- 95.###.153.229:7777
