Защити созданное

Другие наши ресурсы

  • free.drweb.kz — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.ru — сетевая лечащая утилита Dr.Web CureNet!
Закрыть

Библиотека
Моя библиотека

+ Добавить в библиотеку

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86

ЧаВо | Форум | Бот самоподдержки Telegram

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Глобальная поддержка:
+7 (495) 789-45-86 | Telegram

Профиль

Linux.UbntFM.2

Добавлен в вирусную базу Dr.Web: 2017-02-28

Описание добавлено:

SHA1:

  • db6d99702dd8bb19c2a7608094ab3b4e9535d266
  • 9db691d2e302cbd6e7beba7f71e675911a17a6c7

Троянец для операционных систем семейства Linux, в том числе Air OS, которую производит и устанавливает на свои устройства Ubiquiti Networks. Реализован в виде скриптов bash, распространяющихся в архиве tgz. Вносит следующие изменения в файл /etc/passwd:

moth3r:$1$RpWdAhdc$cNgp9llO5jKApRaG8b4nK1:0:0:Administrator:/etc/persistent:/bin/sh

Содержимое архива:

download
infect
mfid
mfid.pub
mother
p
passlst
passwd
scan
sprd

p

Проверяет, присутствует ли в системе учетная запись пользователя с именем "moth3r". Если такая запись отсутствует, создает ее. Проверяет, зарегистрирован ли троянец в автозагрузке, если нет – прописывает в файле /etc/persistent/rc.poststart распаковку собственного архива и запуск сценария “mother”.

Удаляет ключи SSH и перезагружает устройство.

download

Устанавливает на инфицированном компьютере curl, libcurl, libssl, libz, а также позволяет скачивать и запускать произвольные файлы. В теле файла download содержится ссылка на сайт pastebin.com. Если в файле по этой ссылке содержится слово "nomorelies", и хэш от соответствующего фрагмента файла равен "d709745c628f6682ae506d54e4320a28", тогда файл будет сохранен, а затем выполнен.

#drweb

mother

Блокирует доступ к инфицированному устройству по портам 80 и 443. Проверяет наличие в системе пользователя с именем пользователя "moth3r", если таковой отсутствует – создает его.

Назначает для сети wi-fi ssid "mootherf u c k e r". Запускает сканирование подсетей, к которым у устройства имеется доступ.

scan

В цикле формирует IP-адрес и запускает сценарий infect, передавая сформированный IP-адрес в качестве параметра.

infect

Может принимать 4 аргумента:

  • IP-адрес инфицируемого устройства;
  • строка "dbss";
  • SSH-порт;
  • тип протокола ("http" или "https").

Если SSH-порт не указан, сценарий ищет подходящий порт, обращаясь к портам 22 и 2222. Если ответ содержит строку "dropbear", этот порт считается искомым.

Если в качестве аргумента указана строка "dbss", а также указан или найден порт SSH, сценарий соединяется с устройством по протоколу SSH с использованием ключа (mfid) и устанавливает себя на этом устройстве.

Если не указан тип протокола, соединение выполняется по протоколу http, затем — https. В ответе ищет строку "airos".

Если троянцу удалось определить протокол (либо он был задан в качестве аргумента), заражение устройств осуществляется с использованием уязвимости в веб-интерфейсе, позволяющей загрузить произвольный файл по произвольному пути без выполнения авторизации.

#drweb

Троянец перезаписывает файлы /etc/passwd и /etc/dropbear/authorized_keys, заменяя их на свои, после чего соединяется с устройством по протоколу SSH с использованием ключа.

Если трянцу не удалось установить протокол (или на атакуемом устройстве не установлена Air OS), он может предпринять попытку подобрать учетные данные для SSH-соединения по словарю с использованием логинов "root", "admin", "ubnt", и паролей, хранящихся в файле "passlst".

passwd

Содержит только одного пользователя – moth3r.

moth3r:$1$J1CHZtqy$n0XDmW4UCVAVYZqFzvoEC/:0:0:Administrator:/etc/persistent:/bin/sh

Рекомендации по лечению


Linux

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

На 1 месяц (без регистрации) или 3 месяца (с регистрацией и скидкой на продление)

Скачать Dr.Web

По серийному номеру

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2019

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125040, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А