Backdoor.Linux.DOFLOO.AB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• sed -i -e '/exit/d' /etc/rc.local
• sed -i -e '/^\r\n|\r|\n$/d' /etc/rc.local
• sed -i -e '/%s/d' /etc/rc.local
• sed -i -e '2 i%s/%s' /etc/rc.local
• sed -i -e '2 i%s/%s start' /etc/rc.d/rc.local
• sed -i -e '2 i%s/%s start' /etc/init.d/boot.local

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Initiate DDoS attacks:
  • TCP flood
  • Challenge Collapsar (CC) attack
• Stop DDoS attack
• Execute shell commands

情報漏えい

マルウェアは、以下の情報を収集します。

• CPU information
• Memory statistics
• IP address of infected machine
• Reads the following information from /proc:
  • /proc/stat
  • /proc/meminfo
  • /proc/cpuinfo
  • /proc/net/dev
  • /proc/self/exe
  • /proc/self/maps
  • /proc/sys/vm/overcommit_memory
  • /proc/sys/kernel/rtsig-max
  • /proc/sys/kernel/ngroups_max
  • /proc/sys/kernel/osrelease
  • /proc/self/fd/%d/%s
  • /proc/self/fd
  • /proc/net

その他

マルウェアは、以下のファイルを開きます。

• /etc/host.conf
• /etc/resolv.conf
• /etc/nsswitch.conf
• /etc/suid-debug
• /etc/ld.so.cache