Техническая информация
Вредоносные функции:
Самоудаляется
Подменяет имя приложения на:
- rpcbind
Модифицирует настройки брандмауэра:
- /sbin/iptables -S
Управляет службами:
- systemctl daemon-reload
- systemctl enable systemd-hwdb-upgrade.service
Запускает процессы:
- /tmp/tmpFAJDao
- /proc/self/exe /sbin/rpcbind -w
- sh -c systemctl daemon-reload &>/dev/null
- sh -c systemctl enable systemd-hwdb-upgrade.service &>/dev/null
- sh -c /sbin/iptables -S
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /tmp/tmpFAJDao
- /etc/iproute2/rt_ksfield
- /usr/lib/libXxf86dag.so.1.0.0
Создает символические ссылки (симлинки):
- /usr/lib/libXxf86dag.so
Создает или модифицирует файлы:
- /tmp/tmpFAJDao
- /tmp/.X11-unix/Xa
- /etc/iproute2/rt_ksfield
- /lib/systemd/system/systemd-hwdb-upgrade.service
Сетевая активность:
Ожидает входящих соединений на портах:
- 0.0.0.0:48726
HTTP GET-запросы:
- 10#.##.###.###########y/uploadxx/1461C493-38BF-4E72-B118-BE35839A8914/image2.jpg
Посылает данные следующим серверам:
- 21#.##.211.108:51709
- 21#.###.128.168:53994
- 16#.##4.87.53:35167
- 12#.##0.43.45:49252
