Техническая информация
Вредоносные функции:
Подменяет имя приложения на:
- tokio-runtime-worker
- log flusher
- sled-io-3
- sled-io-4
- sled-io-5
- sled-io-6
- sled-io-2
- sled-io-1
- sled-io-0
Запускает процессы:
- /usr/bin/perl /usr/bin/open http://localhost:12345
- file -b --mime-type -e tokens -L -z http://localhost:12345
- /bin/sh /usr/bin/which file
Выполняет операции с файловой системой:
Модифицирует владельца файлов:
- /root/.config/OxidizeBot/oxidize.sql-journal
Создает папки:
- /root/.config
- /root/.config/OxidizeBot
- /root/.config/OxidizeBot/storage
- /root/.config/OxidizeBot/storage/sled.34
- /root/.config/OxidizeBot/storage/sled.34/blobs
Создает или модифицирует файлы:
- /root/.config/OxidizeBot/oxidize.log
- /root/.config/OxidizeBot/oxidize.sql
- /root/.config/OxidizeBot/oxidize.sql-journal
- /root/.config/OxidizeBot/storage/sled.34/conf
- /root/.config/OxidizeBot/storage/sled.34/db
Удаляет файлы:
- /root/.config/OxidizeBot/oxidize.sql-journal
Устанавливает блокировку (lock) на файлы:
- /root/.config/OxidizeBot/storage/sled.34/db
Сетевая активность:
Ожидает входящих соединений на портах:
- 0.0.0.0:12345
Устанавливает соединение:
- 8.#.8.8:53
- 17#.##.129.220:0
- (e##val)
- 10#.#1.1.192:0
- [2#######0:3036::ac43:81dc]:0
- [2#######0:3036::6815:1c0]:0
- 17#.##.129.220:443
- 14#.##.121.6:443
- 10#.##.1.192:443
DNS ASK:
- se##ac.tv
- ap#.#ithub.com
Посылает данные следующим серверам:
- 17#.##.129.220:443
- 10#.##.1.192:443
- 14#.##.121.6:443
Получает данные от следующих серверов:
- 17#.##.129.220:443
- 10#.##.1.192:443
- 14#.##.121.6:443
Прочее:
Собирает информацию о CPU
