PERL_SHELBOT.SMM

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit IRC-Servern (Internet Relay Chat). Wählt sich in einen IRC-Kanal ein. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Backdoor-Routine

Verbindet sich mit einem oder mehreren der folgenden IRC-Server:

• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:443

Wählt sich in einen oder mehrere der folgenden IRC-Kanäle ein:

• #seul

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Launch DDoS attacks
• Perform port scanning
• Execute reverse shells
• Download files
• Send emails
• Retrieve system information
• Exploit kernel vulnerabilities
• Manage bot:
  • Toggle attack statistics
  • Change the bot's IRC nickname
  • Terminate the bot
  • Join/leave IRC channels

Andere Details

It connects to the following possibly malicious URL:

• http://{BLOCKED}y.ru/xpl

Es macht Folgendes:

• It masquerades itself as a legitimate process under any of the following process names at random:
  • /usr/lib/systemd/systemd-logind
  • /sbin/init
  • /usr/sbin/ipmaddr
  • /usr/sbin/saslauthd
  • /sbin/syslogd
  • /sbin/tcpslice