Техническая информация
Вредоносные функции:
Запускает себя в качестве демона
Подменяет имя приложения на:
Запускает процессы:
- sh -c killall Netis >/dev/null 2>&1 & rm -rf *.x86* >/dev/null 2>&1 & killall *.x86* >/dev/null 2>&1 & rm -rf *.arc* >/dev/null 2>&1 & killall *.arc* >/dev/null 2>&1 & rm -rf *.arm* >/dev/null 2>&1 & killall *.arm* >/dev/null 2>&1 & rm -rf *.arm5* >/dev/null 2>&1 & killall *.arm5* >/dev/null 2>&1 & rm -rf *.arm6* >/dev/null 2>&1 & killall *.arm6* >/dev/null 2>&1 & rm -rf *.arm7* >/dev/null 2>&1 & killall *.arm7* >/dev/null 2>&1 & rm -rf *.m68k* >/dev/null 2>&1 & killall *.m68k* >/dev/null 2>&1 & rm -rf *.mips* >/dev/null 2>&1 & killall *.mips* >/dev/null 2>&1 & rm -rf *.mpsl* >/dev/null 2>&1 & killall *.mpsl* >/dev/null 2>&1 & rm -rf *.ppc* >/dev/null 2>&1 & killall *.ppc* >/dev/null 2>&1 & rm -rf *.sh4* >/dev/null 2>&1 & killall *.sh4* >/dev/null 2>&1 & rm -rf *.spc* >/dev/null 2>&1 & killall *.spc* >/dev/null 2>&1 & killall \" \" & killall \" \" >/dev/null 2>&1##[rkmodule] [<SAMPLE>][PPID:0x211] [<SAMPLE>][PID:0x213] do_filp_open. Filename: \"/bin/sh\
- rm -rf *.x86*
- rm -rf *.arm5*
- rm -rf *.arc*
- rm -rf *.arm6*
- rm -rf *.arm7*
- rm -rf *.m68k*
- rm -rf *.arm*
- rm -rf *.mips*
- rm -rf *.mpsl*
- rm -rf *.ppc*
- rm -rf *.sh4*
- rm -rf *.spc*
Пытается завершает следующие процессы:
- killall *.arm5*
- killall *.arm*
- killall *.arc*
- killall *.x86*
- killall Netis
- killall *.m68k*
- killall *.arm6*
- killall *.arm7*
- killall *.mips*
- killall *.mpsl*
- killall *.sh4*
- killall
- killall *.spc*
- killall *.ppc*
- killall
Выполняет операции с файловой системой:
Удаляет файлы:
- /root/*.x86*
- /root/*.arc*
- /root/*.arm5*
- /root/*.mpsl*
- /root/*.spc*
- /root/*.mips*
- /root/*.sh4*
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:17386
Устанавливает соединение:
- <LOCAL_DNS_SERVER>
- 18#.##9.221.118:80
DNS ASK:
- dy##dns.cf
Посылает данные следующим серверам:
- 18#.##9.221.118:80
Получает данные от следующих серверов:
- 18#.##9.221.118:80
