Техническая информация
Вредоносные функции:
Самоудаляется
Получает доступ к ключам SSH
- /root/.ssh/authorized_keys
Запускает процессы:
- uname -a
- cat /proc/cpuinfo
- cat /etc/issue
- free -h
- uptime
- /bin/bash -
- journalctl -S @0 -u sshd
- chattr -ia /root/.ssh/authorized_keys
- cat /var/log/auth*
- zcat /var/log/auth*
- gzip -cd /var/log/auth*
Выполняет операции с файловой системой:
Создает папки:
- /root/.ssh
Удаляет файлы:
- /dev/shm/<SAMPLE_FULL_PATH>
- /tmp/<SAMPLE_FULL_PATH>
- /var/tmp/<SAMPLE_FULL_PATH>
- /root/<SAMPLE_FULL_PATH>
- /etc/<SAMPLE_FULL_PATH>
Сетевая активность:
Устанавливает соединение:
- 127.0.0.1:9
- [:#1]:9
- [:##]:1234
- 127.0.0.1:1234
- [:##]:22
Посылает данные следующим серверам:
- 0.0.0.0:22
Получает данные от следующих серверов:
- 0.0.0.0:22
Прочее:
Собирает информацию об ОС
Собирает информацию о CPU
Собирает информацию об оперативной памяти
Собирает информацию о сетевой активности
