Техническая информация
Для обеспечения автоматического запуска и распространения:
Создает или модифицирует следующие файлы:
- /var/spool/cron/crontabs/root
Вредоносные функции:
Запускает себя в качестве демона
Запускает процессы:
- /usr/bin/crontab -
- mount
- ./cpu_hu
- <SAMPLE_FULL_PATH> {70d0be7374677265733a207265706c69636174696f6e206c61756e63686572}
- /memfd: (deleted) ./10 -c/tmp/...
- bash -c ./cpu_hu
- /usr/bin/crontab
- bash -c echo \x22* * * * * <SAMPLE_FULL_PATH>\x22 | /usr/bin/crontab -
- bash -c /usr/bin/crontab -r
Завершает следующие процессы:
- memfd: (deleted
Выполняет операции с файловой системой:
Модифицирует права доступа к файлам:
- /var/tmp/.private-YO1lKF399NbEEUQUNDMl-login.service-CgeHDZ
- /var/spool/cron/crontabs/tmp.le1AAR
- /var/spool/cron/crontabs/tmp.hyYxIf
Создает или модифицирует файлы:
- /var/tmp/.private-YO1lKF399NbEEUQUNDMl-login.service-CgeHDZ
- /var/tmp/.private-fBUZbhy7845fgmk1Gqci-login.service-S90agO
- /var/spool/cron/crontabs/tmp.le1AAR
- /var/spool/cron/crontabs/tmp.hyYxIf
- /usr/local/lib/python2.7/dist-packages/cpu_hu
- /tmp/...
- /memfd: (deleted)
- /sys/devices/system/node/node0/hugepages/hugepages-2048kB/nr_hugepages
Удаляет файлы:
- /tmp/...
Устанавливает блокировку (lock) на файлы:
- /var/tmp/.private-fBUZbhy7845fgmk1Gqci-login.service-S90agO
Изменяет время создания/доступа/модификации файлов:
- /var/spool/cron/crontabs
Сетевая активность:
Устанавливает соединение:
- 127.0.0.1:5432
- [:##]:5432
- 8.#.8.8:53
- 14#.##.121.5:443
- 14#.##.121.4:443
- 18#.##9.109.133:9
- 18#.##9.110.133:9
- 18#.##9.108.133:9
- 18#.##9.111.133:9
- 18#.##9.109.133:443
- 20#.##.222.222:53
DNS ASK:
- mi##.c3pool.com
Посылает данные следующим серверам:
- 8.#.8.8:53
- 14#.##.121.5:443
- 14#.##.121.4:443
- 18#.##9.109.133:443
Получает данные от следующих серверов:
- 8.#.8.8:53
- 14#.##.121.5:443
- 14#.##.121.4:443
- 18#.##9.109.133:443
Прочее:
Собирает информацию о CPU
Собирает информацию об оперативной памяти
Собирает информацию о сетевой активности
