Trojan.Linux.SSHBRUTE.UWEJS

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• Trojan.SH.MALXMR.UWEJS

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• perl
• sparky.sh
• pscan2

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ter.com/assets/.style/remote/info.php

  その他

  マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • http://{BLOCKED}ter.com/assets/.style/remote/info.php

  マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

  マルウェアは、以下を実行します。

  • It uses Haiduc scanner to try to infect the following:
    • Devices in the private IP range {BLOCKED}.{BLOCKED}.0.0/16 using the credentials listed in .sslm/pass
    • Devices in the public IP range {random number from 0-216}.0.0.0/8 using the credentials listed in .sslm/.pass
  • It contains the following folder:
    • .sslm/
  • It contains the following files:
    • .sslm/.pass → contains short list of credentials
    • .sslm/a.pl → executes start and uses {random number from 0-216}.0.0.0/8 as argument
    • .sslm/libssl → detected as HackTool.Linux.SSHBRUTE.GA
    • .sslm/pass → contains long list of credentials
    • .sslm/sparky.sh → detected as Trojan.SH.SSHBRUTE.UWEJS
    • .sslm/start → detected as Trojan.SH.SSHBRUTE.UWEJS
    • .sslm/start.pl → executes start.sh
    • .sslm/start.sh → detected as Trojan.SH.SSHBRUTE.UWEJS

  マルウェアは、実行後、自身を削除します。