Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /var/spool/cron/crontabs/root
- /etc/init.d/S11log
- /etc/init.d/mountdevsubfs.sh
- /etc/init.d/sendsigs
- /etc/init.d/udev-finish
- /etc/init.d/urandom
- /etc/init.d/motd
- /etc/init.d/umountnfs.sh
- /etc/init.d/rsyslog
- /etc/init.d/halt
- /etc/init.d/killprocs
- /etc/init.d/bootmisc.sh
- /etc/init.d/rc.local
- /etc/init.d/cron
- /etc/init.d/udev
- /etc/init.d/skeleton
- /etc/init.d/hostname.sh
- /etc/init.d/mountnfs-bootclean.sh
- /etc/init.d/rpcbind
- /etc/init.d/rcS
- /etc/init.d/nfs-common
- /etc/init.d/checkfs.sh
- /etc/init.d/hwclock.sh
- /etc/init.d/single
- /etc/init.d/umountfs
- /etc/init.d/procps
- /etc/init.d/reboot
- /etc/init.d/checkroot.sh
- /etc/init.d/ssh
- /etc/init.d/mountkernfs.sh
- /etc/init.d/rmnologin
- /etc/init.d/networking
- /etc/init.d/umountroot
- /etc/init.d/mountnfs.sh
- /etc/init.d/mountall-bootclean.sh
- /etc/init.d/kmod
- /etc/init.d/rc
- /etc/init.d/README
- /etc/init.d/dbus
- /etc/init.d/bootlogs
- /etc/init.d/exim4
- /etc/init.d/mountall.sh
- /etc/init.d/checkroot-bootclean.sh
- /etc/init.d/atd
Вредоносные функции:
Запускает себя в качестве демона
Подменяет имя приложения на:
- /bin/busybox
Запускает процессы:
- sh -c echo '10 * * * * /root crontab' | crontab -
- crontab -
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/spool/cron/crontabs/tmp.zFLVLJ
Создает или модифицирует файлы:
- /var/spool/cron/crontabs/tmp.zFLVLJ
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:18945
Устанавливает соединение:
- 8.#.8.8:53
- 8.#.4.4:53
- 1.#.1.1:53
- 1.#.0.1:53
- 9.#.9.9:53
- 20#.##.222.222:53
- 18#.##8.168.9:53
- 19#.##1.242.72:53
- 94.##0.14.14:53
- 20#.##1.45.60:18191
DNS ASK:
- ri##r.cc
Посылает данные следующим серверам:
- 20#.##1.45.60:18191
