Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /etc/rc.local
- /etc/cron.d/my_process_cron
- /etc/init.d/my_process_service
- /var/spool/cron/crontabs/root
Создает или модифицирует символические ссылки (симлинки):
- /etc/rc2.d/S01my_process_service
- /etc/rc3.d/S01my_process_service
- /etc/rc4.d/S01my_process_service
- /etc/rc5.d/S01my_process_service
- /etc/rc0.d/K01my_process_service
- /etc/rc1.d/K01my_process_service
- /etc/rc6.d/K01my_process_service
Вредоносные функции:
Запускает себя в качестве демона
Подменяет имя приложения на:
- (sd-askpwagent)
- /sbin/init
Выполняет трассировку процессов:
- swapper/0
Управляет службами:
- ['systemctl', 'daemon-reload']
- ['systemctl', 'enable', 'LOL.service']
- ['systemctl', 'start', '%s.service']
Запускает процессы:
- /bin/sh -c chmod 644 /etc/cron.d/
- /bin/sh -c systemctl start %s.service
- /bin/sh -c systemctl daemon-reload
- /bin/sh -c crontab /tmp/mycron
- /bin/systemd-tty-ask-password-agent --watch
- chmod 644 /etc/cron.d/
- crontab /tmp/mycron
- /bin/sh -c chmod +x /etc/rc.local
- chmod +x /etc/rc.local
- /usr/bin/perl /usr/sbin/update-rc.d my_process_service defaults
- /bin/sh -c systemctl enable LOL.service
- /bin/sh -c chmod +x /etc/init.d/
- chmod +x /etc/init.d/
- /bin/sh -c update-rc.d my_process_service defaults
Завершает следующие процессы:
- systemd-tty-ask
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /etc/rc.local
- /etc/cron.d
- /etc/init.d
- /var/spool/cron/crontabs/tmp.V2hPuP
Удаляет папки:
- /tmp/mycron
Создает или модифицирует файлы:
- /etc/systemd/system/LOL.service
- /dev/tty
- /root/.bashrc
- /tmp/mycron
- /var/spool/cron/crontabs/tmp.V2hPuP
Удаляет файлы:
- /tmp/mycron
Изменяет время создания/доступа/модификации файлов:
- /var/spool/cron/crontabs
Сетевая активность:
Ожидает входящих соединений на портах:
- 127.0.0.1:54321
Устанавливает соединение:
- 8.#.8.8:53
- 0.0.0.0:0
Посылает данные следующим серверам:
- 8.#.8.8:53
Получает данные от следующих серверов:
- 8.#.8.8:53
