Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/rc.d/init.d/tcp4
- /etc/rc.local
- /var/spool/cron/crontabs/root
Вредоносные функции:
Самоудаляется
Запускает себя в качестве демона
Подменяет имя приложения на:
- systemd
Заменяет следующие системные файлы:
- /usr/bin/wget
- /usr/bin/lsof
Управляет службами:
- ['systemctl', 'daemon-reload', 'redis.service']
- ['systemctl', 'enable ', 'redis.service']
- ['systemctl', 'daemon-reload', 'mysql.service']
- ['systemctl', 'enable ', 'mysql.service']
Запускает процессы:
- uname -r
- uname -m
- <SAMPLE_FULL_PATH> e
- crontab /var/.recovery
- <SAMPLE_FULL_PATH> d
- mount -o bind /var /proc/835/
Завершает следующие процессы:
- netns
- khungtaskd
- writeback
- ksmd
- kauditd
- kworker/0:3
- crypto
- kintegrityd
- bioset
- kblockd
- kswapd0
- kthreadd
- fsnotify_mark
- kthrotld
- ipv6_addrconf
- deferwq
- kworker/u2:1
- ksoftirqd/0
- kworker/0:0
- rpciod
- nfsiod
- kworker/0:0H
- kpsmoused
- scsi_eh_0
- scsi_tmf_0
- kworker/0:1H
- kworker/u2:2
- watchdog/0
- kworker/0:1
- kworker/0:2
- khelper
- 9bc2fd2a
- <SAMPLE>
- systemd-cgroups
- swapoff
- kdevtmpfs
- jbd2/sda1-8
- ext4-rsv-conver
- rpc.statd
- rpc.idmapd
- bash
- systemd-udevd
- start-stop-daem
- dash
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/spool/cron/crontabs/tmp.bnEyO1
Создает папки:
- /var/web
Создает или модифицирует файлы:
- /usr/bin/.sudo
- /usr/bin/sudo
- /run/mount/utab
- /etc/default_dns.conf
- /tmp/.system
- /var/kernal
- /var/web/media.jpg
- /usr/bin/.top
- /usr/bin/top
- /var/.recovery
- /usr/bin/.find
- /usr/bin/find
- /var/spool/cron/crontabs/tmp.bnEyO1
- /usr/bin/.ssh
- /usr/bin/ssh
- /usr/bin/.wget
- /usr/bin/.head
- /usr/bin/head
- /usr/bin/.tail
- /usr/bin/tail
- /usr/bin/.awk
- /usr/bin/mawk
- /usr/bin/.man
- /usr/bin/man
- /usr/bin/.wc
- /usr/bin/wc
- /usr/bin/.du
- /usr/bin/du
- /usr/bin/.lsof
Монтирует файловые системы:
- /var
Изменяет время создания/доступа/модификации файлов:
- /var/spool/cron/crontabs
Сетевая активность:
Ожидает входящих соединений на портах:
- 0.0.0.0:7898
Устанавливает соединение:
- 8.#.8.8:53
- 15#.#.235.76:55655
Посылает данные следующим серверам:
- 8.#.8.8:53
- 15#.#.235.76:55655
Получает данные от следующих серверов:
- 8.#.8.8:53
- 15#.#.235.76:55655
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
