Author: RonJay Kristoffer Caragay   
 

Backdoor.Linux.Roopre.d (Kaspersky), ELF/Roopre-A (Sophos); Backdoor.Linux.Roopre (Ikarus); Linux/BackDoor-Roopre.gen.a (McAfee); Linux/Roopre.A (ESET-NOD32)

 PLATFORM:

Linux

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Backdoor

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

  TECHNICAL DETAILS

File size: 27,304 bytes
File type: ELF
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 11 октября 2014
PAYLOAD: Compromises system security

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Q - Sends additional data and information
  • P - Sends current state of running tasks, or count of current working threads
  • R - Refresh the session with C&C server
  • F - Download file drom C&C server
  • L - Set maximum number of threads and connection timeout, or load a shared library
  • S - Stop all threads executing the loaded shared library routines
  • G - Create threads to execute exported functions of loaded shared libraries

Se conecta a los sitios Web siguientes para enviar y recibir información:

  • http://{BLOCKED}atelit.biz/ololo.php

  SOLUTION

Minimum scan engine: 9.700
First VSAPI Pattern File: 11.204.06
First VSAPI Pattern Release Date: 11 de октября de 2014
VSAPI OPR PATTERN-VERSION: 11.205.00
VSAPI OPR PATTERN DATE: 11 de октября de 2014

Explorar el equipo con su producto de Trend Micro y anotar los archivos detectados como ELF_ROOPRE.E


Did this description help? Tell us how we did.