Trojan.SH.MIXBASH.A

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Infiltra los archivos siguientes:

• cron tasks:
  • /etc/crontab
  • /etc/crontabs/root
  • /var/spool/cron/crontabs/root
  • /var/spool/cron/root
  • /etc/cron.d/root
  • /etc/cron.d/.cronbus
• /root/.ssh/authorized_keys OR /home/{user}/.ssh/authorized_keys - used for logging in as user@localhost
• /root/.cache/.a - file marker for uninstall routines

Otras modificaciones del sistema

Modifica los archivos siguientes:

• /etc/rc.local - adds "sh /usr/local/bin/npt" to run downloaded file on boot
• /var/spool/mail/{user} - contents replaced with "0" string
• /var/log/wtmp - contents replaced with "0" string
• /var/log/secure - contents replaced with "0" string
• /var/log/cron - contents replaced with "0" string

Elimina los archivos siguientes:

• /etc/ld.so.preload*
• /etc/systemd/system/cloud*
• files in /var/tmp
• files in /var/spool/cron/crontabs
• files in /var/spool/cron
• files in /etc/cron.d
• files in /etc/crontabs

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• Cloud-related Services:
  • barad_agent*
  • anat*
  • aliyun-service
  • yunjing
• Other Processes (some are related to malware/coinmining):
  • .kthreadd
  • .over
  • .sr0
  • .sshd
  • /60009
  • /tmp/
  • /tmp/init
  • 44444
  • 56416
  • clay
  • clean.sh
  • config.json
  • cpuminer
  • cranberry
  • crawler.weibo
  • cryptonight
  • ddgs
  • ebscan
  • geqn
  • gpg-daemon
  • gwjyhs.com
  • hashrate
  • hashvault
  • httpdz
  • jobs.flu.cc
  • kerbero
  • kerberods
  • khugepageds
  • killTop.sh
  • krun.sh
  • kworker
  • kworkerds
  • Linux
  • linuxl
  • linuxs
  • minerd
  • mrx1
  • nicehash
  • nmap
  • pastebin.com
  • redis-cli
  • redisscan
  • slave
  • sobot.com
  • ssh_deny.sh
  • start.sh
  • stratum
  • udevs
  • watch.sh
  • xig
  • xmr
• Exceptions:
  • If Process ID is less than 301
  • Process belongs to the malware itself
  • If Process ID = Parent PID

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• /root/.cache/.editorinfo OR /home/{user}/.cache/.editorinfo
• /usr/local/bin/nptd
• /etc/cron.hourly/cronlog
• /etc/cron.daily/cronlog
• /etc/cron.monthly/cronlog
• /root/.cache/favicon.ico OR /home/{user}/.cache/favicon.ico - coinminer
• /root/.cache/.kswapd OR /home/{user}/.cache/.kswapd - coinminer
• /root/.cache/[kthrotlds] OR /home/{user}/[kthrotlds] - coinminer
• /usr/bin/[kthrotlds] - coinminer
• /root/.cache/.ntp OR /home/{user}/.cache/.ntp

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}2wp4xo7hpr{URL String}/src/ud - update flag