Backdoor.Linux.RSHell.A

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• /bin/netstat ← the original netstat is moved with a different filename which is "/bin/scnetstat"

Otras modificaciones del sistema

Elimina los archivos siguientes:

• /bin/ddus-uidgen
• /etc/init.d/acpidtd
• /etc/rc.d/rc*.d/S01acpidtd
• /etc/ld.sc.conf

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Execute shell commands

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.30.212
• {BLOCKED}.{BLOCKED}.33.59
• {BLOCKED}.{BLOCKED}.32.135
• {BLOCKED}.{BLOCKED}.202.186
• {BLOCKED}.{BLOCKED}.116.233
• {BLOCKED}.{BLOCKED}.214.158
• {BLOCKED}.{BLOCKED}.90.199
• {BLOCKED}.{BLOCKED}.199.236
• {BLOCKED}.{BLOCKED}.33.242