Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/rc.d/init.d/tcp4
- /var/spool/cron/crontabs/root
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Подменяет имя приложения на:
- systemd
Управляет службами:
- ['systemctl', 'daemon-reload', 'redis.service']
- ['systemctl', 'enable ', 'redis.service']
- ['systemctl', 'daemon-reload', 'mysql.service']
- ['systemctl', 'enable ', 'mysql.service']
Запускает процессы:
- uname -r
- uname -m
- <SAMPLE_FULL_PATH> e
- <SAMPLE_FULL_PATH> d
- crontab /var/.recovery
- mount -o bind /var /proc/761/
Завершает следующие процессы:
- rcu_tasks_trace
- ksoftirqd/0
- irq/47-mmci-pl1
- ata_sff
- scsi_eh_0
- scsi_tmf_0
- mmc_complete
- rcu_sched
- migration/0
- jbd2/mmcblk0p2-
- ext4-rsv-conver
- cpuhp/0
- cpuhp/1
- migration/1
- ksoftirqd/1
- kworker/1:0
- kworker/u4:3
- kthreadd
- kworker/1:0H
- kdevtmpfs
- netns
- kauditd
- khungtaskd
- oom_reaper
- writeback
- kcompactd0
- ksmd
- khugepaged
- rcu_gp
- rcu_par_gp
- kintegrityd
- kblockd
- blkcg_punt_bio
- devfreq_wq
- watchdogd
- kworker/0:1H
- kswapd0
- kthrotld
- kapmd
- ipv6_addrconf
- kworker/u4:1
- kworker/u4:4
- kworker/u4:2
- kworker/0:0
- kworker/0:0H
- kstrp
- zswap-shrink
- kworker/u5:0
- kworker/0:5
- logrotate
- 9bc2fd2a
- kworker/0:8
- <SAMPLE>
- uname
- mm_percpu_wq
- rcu_tasks_rude_
- cron
- dash
- kernal
- mandb
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/spool/cron/crontabs/tmp.8re7GF
Создает папки:
- /var/web
Создает или модифицирует файлы:
- /var/temp_check_permissions
- /usr/bin/.kill
- /usr/bin/kill
- /tmp/.system
- /etc/default_dns.conf
- /opt/cgo
- /dev/watchdog
- /var/kernal
- /usr/bin/.ls
- /usr/bin/ls
- /usr/lib/readdir.so
- /var/web/media.jpg
- /var/.recovery
- /var/spool/cron/crontabs/tmp.8re7GF
- /usr/bin/.pwd
- /usr/bin/pwd
- /etc/systemd/system/redis.service
- /etc/systemd/system/mysql.service
Удаляет файлы:
- /var/temp_check_permissions
Монтирует файловые системы:
- /var
Изменяет время создания/доступа/модификации файлов:
- /var/spool/cron/crontabs
Сетевая активность:
Устанавливает соединение:
- 8.#.8.8:53
- 15#.#.235.76:55655
Посылает данные следующим серверам:
- 8.#.8.8:53
- 15#.#.235.76:55655
Получает данные от следующих серверов:
- 8.#.8.8:53
- 15#.#.235.76:55655
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
