Техническая информация
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Подменяет имя приложения на:
- GNU
Запускает процессы:
- sh -c mount -o bind /tmp /proc/532 > /dev/null 2>&1
- sh -c setenforce 0 > /dev/null 2>&1
- mount -o bind /tmp /proc/532
- sh -c mount -o bind /tmp /proc/536 > /dev/null 2>&1
- mount -o bind /tmp /proc/536
- sh -c mount -o bind /tmp /proc/539 > /dev/null 2>&1
- sh -c mount -o bind /tmp /proc/540 > /dev/null 2>&1
- mount -o bind /tmp /proc/540
- mount -o bind /tmp /proc/539
Выполняет операции с файловой системой:
Монтирует файловые системы:
- /tmp
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:13219
Устанавливает соединение:
- 8.#.8.8:53
- 60.##5.135.0:19
Проводит атаку перебором по словарю (брутфорс) по протоколу Telnet.
DNS ASK:
- ev##ve.cf
Посылает данные следующим серверам:
- 95.###.147.143:23
- 45.##.52.191:23
- 23#.##7.154.142:23
- 44.###.169.47:23
- 17#.##2.225.242:23
- 20#.##7.79.110:23
- 18#.##5.49.85:23
- 16#.##.152.254:23
- 37.###.117.69:23
- 8.#.8.8:53
