ELF_XORDDOS.AR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• /lib/libudev.so

自動実行方法

マルウェアは、以下のファイルを作成します。

• /etc/cron.hourly/gcc.sh (Cron is a time-based job scheduler in Unix-like computer operating systems)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute files
• Download files
• Update Malware
• Delete Files
• Terminate Process
• Remove Services
• Remove Self
• Perform DDoS attack

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• aaa.{BLOCKED}456.com:6001
• aaa.{BLOCKED}t456.com:6001

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• www1.{BLOCKED}t456.com/dd.rar

情報漏えい

マルウェアは、以下の情報を収集します。

• Memory Information
• CPU Information
• Network Speed
• PID of Running Process
• MD5 of Running Process

マルウェアは、以下のファイルを作成します。

• /etc/cron.hourly/udev.sh (Cronは、UNIX系コンピュータのOSの時間ベースのジョブスケジューラです。)

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• ファイルの実行
• ファイルのダウンロード
• マルウェアの更新
• ファイルの削除
• プロセスの停止
• サービスの削除
• 自身の削除
• 「分散型サービス拒否（DDoS）攻撃」

マルウェアは、フォルダ"/etc/init.d"にシェルスクリプトを作成します。このフォルダは、マルウェアの自動起動を設定します。

マルウェアが収集する情報は以下のとおりです。

• メモリ情報
• CPU情報
• ネットワークの速度
• 実行中プロセスのPID
• 実行中プロセスのMD5

マルウェアは、ファイル"/lib/libudev.so"を以下としてコピーします。

• /usr/bin/{random 10 characters}
• /bin/{random 10 characters}
• /tmp/{random 10 characters}

マルウェアは、マルウェアの自動起動を設定するフォルダ"/etc/init.d"内にシェルスクリプトを作成します。

"/etc/init.d"内のシェルスクリプトを示す以下のシンボリックリンクを作成します。

• /etc/rc{1-5}.d/S90{random numbers}
• /etc/rc.d/rc{1-5}.d/S90{random numbers}

マルウェアは、マジックストリングの値をファイル"/var/run/gcc.pid"から取得します。

マルウェアは、自身の環境設定ファイルから以下を読み込みます。

• md5-ファイルのチェックサム
• denyip-IPとの通信を開く
• filename-ファイル名のリスト
• rmfile-削除するファイル

マルウェアは、脆弱性を利用した感染活動を行いません。