Техническая информация
Вредоносные функции:
Запускает себя в качестве демона
Модифицирует настройки брандмауэра:
- /sbin/iptables -t mangle -D PREROUTING -p tcp --dport 80 -j QUEUE
- /sbin/iptables -t mangle -D POSTROUTING -p tcp --sport 80 -j QUEUE
- /sbin/iptables -n -L OUTPUT
Запускает процессы:
- /bin/sh -c /sbin/iptables -t mangle -D PREROUTING -p tcp --dport 80 -j QUEUE
- /bin/sh -c /sbin/iptables -t mangle -D POSTROUTING -p tcp --sport 80 -j QUEUE
- /bin/sh -c /sbin/iptables -n -L OUTPUT > /tmp/pink/protect_ipt_check
Выполняет операции с файловой системой:
Создает папки:
- /tmp/pink
Создает или модифицирует файлы:
- /tmp/pink/cnc_live
- /tmp/pink/p2p_cncproxy_status
- /tmp/pink/cnc_live_proxy
- /tmp/pink/cnc_runtype
- /tmp/pink/protect_ipt_check
Удаляет файлы:
- /tmp/client
- /tmp/pink/cncproxy_validinfo
- /tmp/pink/fc_ip
- /tmp/pink/fc_port
- /tmp/pink/cache_finder_page_web
Устанавливает блокировку (lock) на файлы:
- /tmp/pink/cnc_live
- /tmp/pink/cnc_live_proxy
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:61889
- 0.0.0.0:123
- 127.0.0.1:61869
Устанавливает соединение:
- 8.#.8.8:53
- 20#.##.56.48:1088
HTTP GET-запросы:
- 48.##.11.204/
DNS ASK:
- cn#.##nklander.com
