Техническая информация
Вредоносные функции:
Модифицирует настройки брандмауэра:
- iptables -F
Управляет службами:
- service iptables reload
Запускает процессы:
- bash -c
- chattr -iua /tmp/
- chattr -iua /var/tmp/
- mv /sbin/iptables /sbin/iptables__
- id -u
- sysctl kernel.nmi_watchdog=0
- grep -i [a]liyun
- ps aux
- bash
- pkill aliyun-service
- rm -rf /etc/init.d/agentwatch /usr/sbin/aliyun-service /usr/local/aegis*
Выполняет операции с файловой системой:
Создает или модифицирует файлы:
- /sbin/iptables
- /proc/sys/kernel/nmi_watchdog
- /etc/sysctl.conf
Удаляет файлы:
- /etc/init.d/agentwatch
- /usr/sbin/aliyun-service
- /usr/local/aegis*
- /tmp/.ICE-unix
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:52014
Устанавливает соединение:
- 127.0.0.1:9
- [:#1]:9
- [:##]:52014
- 127.0.0.1:52014
- <LOCAL_DNS_SERVER>
DNS ASK:
- fi###shell.nl
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
Собирает информацию о сетевой активности
