ELF_NETWRD.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、Linuxのオペレーティングシステム（OS）上で実行され、複数の人気インターネットアプリケーションによって保存されているパスワードを収集するように設計されています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {user's home path}/WIFIADAPT

自動実行方法

マルウェアは、以下のファイルを作成します。

• {user's home path}/.config/autostart/WIFIADAPTER.desktop

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get OS version, user name, host name, $PATH variable, home directory, malware process ID, current process path
• Download a file and save it as /tmp/{random file name 1}, then execute the downloaded file
• Exit
• List files in a directory
• Read a file
• Write and close a file
• Copy a file
• Execute a file
• Rename a file
• Delete a file
• Create a directory
• Start remote shell
• Kill a process
• Get currently logged in users
• Enumerate window titles of all processes
• Download a file and save it as /tmp/{random file name 2}
• Simulate keyboard press
• Simulate mouse event
• Get stored login credentials in Google Chrome, Chromium, Opera, Mozilla
• Get the size of a file
• Take a screenshot
• Upload keylogger file {user's home path}/.m8d.dat
• Clear keylogger file {user's home path}/.m8d.dat
• Delete a file
• Search for a file
• Stop remote shell
• List processes
• Perform window operation
• Get Pidgin passwords from {user's home path}/.purple/accounts.xml
• Uninstall

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.208.65:4141

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• {user's home path}/.m8d.dat

その他

マルウェアが実行するコマンドは、以下のとおりです。

• OSのバージョン、ユーザ名、ホスト名、PATH環境変数、ホームディレクトリ、マルウェアのプロセス識別子、カレントプロセスのパスといった情報の取得
• ファイルをダウンロードし、"/tmp/＜ランダムなファイル名 1＞" として保存、実行する
• 自身の終了
• ディレクトリ内のファイルのリスト化
• ファイルの読み込み
• ファイルを書き込み、閉じる
• ファイルのコピー
• ファイルの実行
• ファイル名の改称
• ファイルの削除
• ディレクトリの作成
• リモートシェルの開始
• プロセスの終了
• ログイン中のユーザに関する情報の取得
• すべてのプロセスのウィンドウタイトルを列挙する
• ファイルをダウンロードし、"/tmp/＜ランダムなファイル名 2＞" として保存する
• キーボードを押す力をシュミレートする
• マウスイベントをシュミレートする
• Thunderbird、SeaMonkeyおよびMozilla Firefoxに保存されているログイン情報の取得
• ファイルサイズの取得
• スクリーンショットの取得
• キー入力操作情報のファイル "{user's home path}/.m8d.dat" のアップロード
• キー入力操作情報のファイル "{user's home path}/.m8d.dat" の削除
• ファイルの削除
• ファイルの検索
• リモートシェルの停止
• プロセスの列挙
• ウィンドウ操作の実行
• "{user's home path}/.purple/accounts.xml" からインスタントメッセンジャ（IM）「Pidgin」のパスワードの取得
• アンインストール