Backdoor.Linux.KERDOOR.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• kadtg_{PID} → Creates multiple instances sequentially, with a new instance created after the previous one terminates.

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• {kernel module} → A kernel module is required to be loaded by the malware

マルウェアは、以下を実行します。

• It runs as a background process and creates processes using the following naming format:
  • kadtg_{PID}
• It repeatedly creates IPv4 TCP sockets and sends a custom IOCTL request.
• It disables the creation of core dump files.
• It attempts to run with root user and group privileges.
• It attempts to access SELinux security settings
• It redirects its standard input, output, and error to `/dev/null`.
• This variant attempts to load the kernel module `tschook.ko` (detected as Backdoor.Linux.KERDOOR.D)

マルウェアは、以下のパラメータを受け取ります。

• {kernel module}