ELF_VPNFILT.B

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

• ELF_VPNFILT.A

Instalación

Agrega las carpetas siguientes:

• /var/run/vpnfilterw <- Used by ELF_VPNFILT.C

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Terminate its current process
• Reboot the infected device
• Delays the reboot of the device
• Read local file contents
• Execute commands or another plugin with the following Linux Shell Commands:
  • /bin/sh
  • /bin/ash
  • /bin/bash
  • /bin/shell
• Delete system files, and directories
• Set its C&C proxy
• Set its C&C proxy port
• Set its other configuration parameters

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}skd4gipkm.onion/bin32/update.php
• {BLOCKED}.{BLOCKED}.180.60
• {BLOCKED}.{BLOCKED}.202.40
• {BLOCKED}.{BLOCKED}.179.14
• {BLOCKED}.{BLOCKED}.209.33
• {BLOCKED}.{BLOCKED}.250.54
• {BLOCKED}.{BLOCKED}.180.229
• {BLOCKED}.{BLOCKED}.242.124
• {BLOCKED}.{BLOCKED}.109.209
• {BLOCKED}.{BLOCKED}.13.76
• {BLOCKED}.{BLOCKED}.203.144
• {BLOCKED}.{BLOCKED}.80.82
• {BLOCKED}.{BLOCKED}.222.68
• {BLOCKED}.{BLOCKED}.198.231

Robo de información

Recopila los siguientes datos:

• Mac Address
• Platform Version
• IP Address
• Bootloader