An¨¢lisis realizado por : Christopher Daniel So   
 Alias

Backdoor:Linux/Tsunami.gen!A (Microsoft), Linux.Backdoor.Kaiten (Symantec), Linux/Tsunami-A (Sophos), Backdoor.Linux.Tsunami (Ikarus)

 Plataforma:

Linux, UNIX

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
 Revelaci¨®n de la informaci¨®n:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Backdoor

  • Destructivo?
    No

  • Cifrado
    No

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Canal de infecci¨®n Descargado de Internet

Se conecta a servidores de IRC. Se une a un canal de IRC. Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

  Detalles t¨¦cnicos

Tama?o del archivo 982,256 bytes
Tipo de archivo ELF
Residente en memoria ³§¨ª
Fecha de recepci¨®n de las muestras iniciales 28 Sep 2014
Carga ¨²til Connects to URLs/IPs

Detalles de entrada

Puede haberse descargado desde los sitios remotos siguientes:

  • http://{BLOCKED}host.us/bots/a

Rutina de puerta trasera

Se conecta a alguno de los siguientes servidores de IRC:

  • linksys.{BLOCKED}shellz.net:25

Se une a alguno de los canales siguientes de IRC:

  • #shellshock

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Perform PUSH-ACK flood
  • Perform SYN flood
  • Perform UDP flood with spoofed source address
  • Perform UDP flood without spoofed source address
  • Change nickname
  • Change server
  • Get spoofed source addresses
  • Set spoofed address subnet mask
  • Disable client
  • Enable client
  • Terminate client
  • Download file
  • Stop all attacks
  • Send raw IRC command
  • Start remote shell

  Soluciones

Motor de exploraci¨®n m¨ªnimo 9.700
Primer archivo de patrones de VSAPI 11.178.04
Primera fecha de publicaci¨®n de patrones de VSAPI 28 de septiembre de 2014

Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como ELF_KAITEN.A En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Rellene nuestra encuesta!