Backdoor.Linux.TSUNAMI.AMY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• /dev/shm/{Malware Filename}
• /var/tmp/{Malware Filename}
• /var/lock/{Malware Filename}
• /var/lock/{Malware Filename}
• /root/{Random Characters}

マルウェアは、以下のファイルを作成します。

• .bawtz

マルウェアは、以下のプロセスを追加します。

• /bin/uname
• /bin/nvram or /usr/sbin/nvram
• /etc/ISP_name
• /etc/Model_name

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}.{BLOCKED}.165.21
• {BLOCKED}.{BLOCKED}.217.181
• {BLOCKED}.{BLOCKED}.2.189
• {BLOCKED}.{BLOCKED}.137.56
• {BLOCKED}.{BLOCKED}.253.100
• {BLOCKED}.{BLOCKED}.233.35
• {BLOCKED}.{BLOCKED}.149.22
• {BLOCKED}.{BLOCKED}.242.233
• {BLOCKED}.{BLOCKED}.240.191
• {BLOCKED}.{BLOCKED}.24.229
• {BLOCKED}.{BLOCKED}.2.189

マルウェアは、以下のいずれかのIRCチャンネルに接続します。

• #ex86

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• PAN - Performs an advanced SYN flood to a specific target at n seconds interval.
• UDP - Performs a UDP flood to a specific target at n seconds interval.
• HTTP - Perform a HTTP flood.
• STD - Triggers the bot to perform a denial of service (DoS) attack and also allows user to specify .
• UNKNOWN - Another non-spoof udp flooder
• KILL - Kill the running client.
• KILL_PORT - Kill a listener socket.
• GET - This downloads from and saves a file.
• SSHX <192 or 192.168 or 192.168.0> - Perform a SSH scan with provided credentials.
• SSH <192 or 192.168 or 192.168.0> - Perform a SSH scan.
• KILLALL - Kill all current packeting.
• HELP - Displays this.
• CBACK - Connect back to .
• IRC - Send commands to the IRC server.
• SH - Execute shell commands.

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Network Information
• Operating System Information
• Kernel Version
• System Hardware

その他

マルウェアは、以下を実行します。

• Adds the following crontab entries to enable its automatic execution at every minute:
  • crontab * * * * * /{Malware Path}/{Malware Filename}> /dev/null 2>&1 &
  • crontab * * * * * /{Copy Path}/{Malware Filename}> /dev/null 2>&1 &
• It does not continue with its routines if the following processes are running:
  • strace
  • tcpdump