Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/init.d/rcS.bak
- /etc/init.d/rcS
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Подменяет имя приложения на:
- -bash
Запускает процессы:
- umount /proc/*
- /usr/sbin/.developer <SAMPLE_FULL_PATH>
- bash -c setenforce 0
- bash -c mount -o bind /tmp /proc/544
- mount -o bind /tmp /proc/544
- cp /etc/rc.local /etc/rc.bak
- fuser -k 21/tcp
- echo '/usr/sbin/.developer -d' >> /etc/rc.local
- cp /etc/init.d/rcS /etc/init.d/rcS.bak
- sh -c echo '/usr/sbin/.developer -d' >> /etc/init.d/rcS
- rm -rf /tmp/* /var/* /var/run/* /var/tmp/*
- echo 0 > /var/log/wtmp
- echo 0 > /var/log/secure
- echo -e
- fuser -k 48101/tcp
- rm -rf /bin/netstat
Выполняет операции с файловой системой:
Создает или модифицирует файлы:
- <SAMPLE_FULL_PATH>
- /etc/rc.bak
Удаляет файлы:
- /tmp/*
- /var/*
- /var/run/*
- /var/tmp/*
- /bin/netstat
Монтирует файловые системы:
- /tmp
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:13372
Устанавливает соединение:
- [:##]:21
- 127.0.0.1:21
Прочее:
Собирает информацию об оперативной памяти
