Техническая информация
Вредоносные функции:
Получает доступ к ключам SSH
- /root/.ssh/config
- /root/.ssh/known_hosts
Запускает процессы:
- sh -c pgrep netwalker
- pgrep netwalker
- sh -c pidof netwalker
- pidof netwalker
- sh -c <SAMPLE_FULL_PATH> ssh <LOCAL_GATE>:22 \"/root/<LOCAL_GATE>\" 178.21.164.68
- <SAMPLE_FULL_PATH> ssh <LOCAL_GATE>:22 /root/<LOCAL_GATE> 178.21.164.68
Выполняет операции с файловой системой:
Создает или модифицирует файлы:
- /root/<LOCAL_GATE>.cpass
Удаляет файлы:
- /root/<LOCAL_GATE>.cpass
Сетевая активность:
Устанавливает соединение:
- <LOCAL_GATE>:445
- <LOCAL_GATE>:3389
Проводит атаку перебором по словарю (брутфорс) по протоколу SSH.
DNS ASK:
- CK########AAAAAAAAAAAAAAAAAAAAAA
Прочее:
Собирает информацию о CPU
