Техническая информация
Вредоносные функции:
Запускает себя в качестве демона
Подменяет имя приложения на:
- qhysjeed
- vrxw
- [^$I$^]
Запускает процессы:
- sh -c /var/tmp/vrxwme vrxw &
- /var/tmp/vrxwme vrxw
- sh -c /var/tmp/dclyre &
- /var/tmp/dclyre
- sh -c /var/tmp/pnvfye pnvf &
- /var/tmp/pnvfye pnvf
- sh -c /var/tmp/myxmpv dbln &
- /var/tmp/myxmpv dbln
- sh -c /var/tmp/wfbuqv wfbu &
- /var/tmp/wfbuqv wfbu
Завершает следующие процессы:
- /var/tmp/vrxwme
- /var/tmp/dclyre
- Unknown process with PID: 722
- Unknown process with PID: 724
- Unknown process with PID: 729
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/tmp/vrxwme
- /var/tmp/dclyre
- /var/tmp/pnvfye
- /var/tmp/myxmpv
- /var/tmp/wfbuqv
Создает или модифицирует файлы:
- /var/tmp/vrxwme
- /var/tmp/ps
- /var/tmp/dclyre
- /var/tmp/.tmp
- /var/tmp/pnvfye
- /var/tmp/myxmpv
- /var/tmp/wfbuqv
Удаляет файлы:
- /var/tmp/vrxwme
- /var/tmp/dclyre
- /var/tmp/pnvfye
- /var/tmp/myxmpv
- /var/tmp/wfbuqv
Устанавливает блокировку (lock) на файлы:
- /var/tmp/ps
- /var/tmp/.tmp
Сетевая активность:
Устанавливает соединение:
- 14#.#2.52.87:80
HTTP GET-запросы:
- 18#.###.169.6/jm/jrd
- 18#.###.169.6/jm/lmmml
- 18#.###.169.6/jm/jpp
HTTP POST-запросы:
- 18#.##.68.100/__jb.php
Получает данные от следующих серверов:
- 14#.#2.52.87:80
