Техническая информация
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Подменяет имя приложения на:
- kgwldjq7h3uwmp0qc1mmrwiw
Запускает процессы:
- sh -c mkdir -p /tmp/wp/log
- mkdir -p /tmp/wp/log
- sh -c ip route | grep 192.168.214.50 | awk -F '[ *]' '{print $3}'
- ip route
- grep 192.168.214.50
- awk -F [ *] {print $3}
Выполняет операции с файловой системой:
Создает папки:
- /tmp/wp
- /tmp/wp/log
Создает или модифицирует файлы:
- /tmp/wp/log
- /root/log
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:48101
Устанавливает соединение:
- 8.#.8.8:53
- 43.###.105.140:39000
Посылает данные следующим серверам:
- 43.###.105.140:0
