Skip to content

お住まいの国は?:
Threat Encyclopedia Mobile Page
クイックリンク
ELF_SHISHIGA.A
別名: Backdoor.Linux.Luabot!c(AegisLab)
マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
プラットフォーム: Linux
暗号化: あり
感染報告の有無 : あり

感染経路: 他のマルウェアからの作成, インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

2017年5月初旬に確認されましたこのマルウェアは、Telnet やSSHへログインするためにブルートフォース(総当り)攻撃を実行する機能を備えています。このマルウェアに感染するとコンピュータのセキュリティが侵害されて、情報が窃取される恐れがあります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。


ファイルサイズ: 472,140 bytes
タイプ: ELF
メモリ常駐: あり
発見日: 2017年5月1日
ペイロード: 情報収集, URLまたはIPアドレスに接続, ファイルの作成

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • $HOME/.local/check
  • $HOME/.local/nodes.cfg
  • $HOME/.local/script.bt
  • $HOME/.local/server.bt
  • $HOME/.local/ssh.txt
  • $HOME/.local/syslog
  • $HOME/.local/syslog.pid
  • $HOME/.local/telnet.txt
  • $HOME/.local/update.bt
  • $HOME/.local/{armv4l,i686,mips,mipsel,powerpc}.lm
  • $HOME/.local/{armv4l,i686,mips,mipsel}.{dl,dm}
  • /bin/syslogd
  • /etc/cron.hourly/syslogd
  • /etc/init.d/syslogd
  • /etc/rc2.d/S04syslogd
  • /etc/rc3.d/S04syslogd
  • /etc/rc4.d/S04syslogd
  • /etc/rc5.d/S04syslogd
  • /tmp/.local/*
  • /tmp/drop
  • /tmp/srv

情報漏えい

マルウェアは、以下の情報を収集します。

  • OS version
  • Mac Address
  • Ip Address
  • User Name
  • Password
  • Malware Version

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • http://myip.ru

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • {BLOCKED}.{BLOCKED}.137.35:8888

マルウェアが収集する情報は以下のとおりです。

  • オペレーティングシステム(OS)のバージョン
  • Macアドレス
  • IPアドレス
  • ユーザ名
  • パスワード
  • マルウェアのバージョン

マルウェアは、以下のユーザ名およびパスワードのリストを利用してTelnet やSSHへログインするためにブルートフォース(総当り)攻撃を実行します。

  • acer acer
  • adm
  • adm adm
  • admin
  • admin admin
  • local accounts=
  • pi pi
  • root
  • root 1
  • root 111111
  • root 12
  • root 123
  • root 123123
  • root 1234
  • root 12346
  • root 123467
  • root 1234678
  • root 12346789
  • root 123467890
  • root 1q2w3e
  • root 1q2w3e4r
  • root 1qaz
  • root 1qaz2wsx
  • root abc123
  • root asdfgh
  • root oracle
  • root p@ssw0rd
  • root pass
  • root pass123
  • root passw0rd
  • root passw0rds
  • root password
  • root password123
  • root password123456
  • root qwe123
  • root qwerty
  • root root
  • root roottoor
  • root test
  • root toor
  • security security
  • ubnt ubnt
  • user
  • user user

マルウェアは、以下のグラフィック画面を表示します。

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン: 13.374.04
初回 VSAPI パターンリリース日: 2017年5月1日
VSAPI OPR パターンバージョン: 13.375.00
VSAPI OPR パターンリリース日:2017年5月2日

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ELF_SHISHIGA.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください。
解析者 : Marvelous Pelin