Author: Bren Matthew Ebriega   

 

Backdoor:Linux/Tusnami.C!MTB (MICROSOFT); Adware/Tsunami (FORTINET)

 PLATFORM:

Linux

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Backdoor

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

  TECHNICAL DETAILS

File size: 49,092 bytes
File type: ELF
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 28 сентября 2021
PAYLOAD: Drops files, Connects to URLs/IPs, Steals information

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

  • /dev/shm/{Malware Filename}
  • /var/tmp/{Malware Filename}
  • /var/lock/{Malware Filename}
  • /var/lock/{Malware Filename}
  • /root/{Random Characters}

Infiltra los archivos siguientes:

  • .bawtz

Agrega los procesos siguientes:

  • /bin/uname
  • /bin/nvram or /usr/sbin/nvram
  • /etc/ISP_name
  • /etc/Model_name

Rutina de puerta trasera

Se conecta a uno de los servidores de IRC siguientes:

  • {BLOCKED}.{BLOCKED}.165.21
  • {BLOCKED}.{BLOCKED}.217.181
  • {BLOCKED}.{BLOCKED}.2.189
  • {BLOCKED}.{BLOCKED}.137.56
  • {BLOCKED}.{BLOCKED}.253.100
  • {BLOCKED}.{BLOCKED}.233.35
  • {BLOCKED}.{BLOCKED}.149.22
  • {BLOCKED}.{BLOCKED}.242.233
  • {BLOCKED}.{BLOCKED}.240.191
  • {BLOCKED}.{BLOCKED}.24.229
  • {BLOCKED}.{BLOCKED}.2.189

Se une a los canales de IRC siguientes:

  • #ex86

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • PAN - Performs an advanced SYN flood to a specific target at n seconds interval.
  • UDP - Performs a UDP flood to a specific target at n seconds interval.
  • HTTP
  • STD - Triggers the bot to perform a denial of service (DoS) attack and also allows user to specify .
  • UNKNOWN - Another non-spoof udp flooder
  • KILL - Kill the running client.
  • KILL_PORT - Kill a listener socket.
  • GET - This downloads from and saves a file.
  • SSHX <192 or 192.168 or 192.168.0> - Perform a SSH scan with provided credentials.
  • SSH <192 or 192.168 or 192.168.0> - Perform a SSH scan.
  • KILLALL - Kill all current packeting.
  • HELP - Displays this.
  • CBACK - Connect back to .
  • IRC - Send commands to the IRC server.
  • SH - Execute shell commands.

Robo de información

Recopila los siguientes datos:

  • Username
  • Network Information
  • Operating System Information
  • Kernel Version
  • System Hardware

Otros detalles

Hace lo siguiente:

  • Adds the following crontab entries to enable its automatic execution at every minute:
    • crontab * * * * * /{Malware Path}/{Malware Filename}> /dev/null 2>&1 &
    • crontab * * * * * /{Copy Path}/{Malware Filename}> /dev/null 2>&1 &
  • It does not continue with its routines if the following processes are running:
    • strace
    • tcpdump

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 16.994.04
First VSAPI Pattern Release Date: 28 de сентября de 2021
VSAPI OPR PATTERN-VERSION: 16.995.00
VSAPI OPR PATTERN DATE: 29 de сентября de 2021

Step 2

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Backdoor.Linux.TSUNAMI.AMY En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Did this description help? Tell us how we did.