Elkeid-20221202-botnet-9 (arhivehaceru_Update) 分析报告

简述

yy.py样本执行了ssh登陆后通过vim编辑的yy.py文件。同时行为集合中存在/root/pty样本的关联行为，该样本与僵尸网络和挖矿有关，在本报告的数据采集周期内未见其他派生行为。

yy.py,x001804289383

ssh行为
- 安装文件
  - sudo apt install screen
  - bash -c curl ipinfo.io/org
  - bash -c nproc
- 编辑yy.py 并赋权执行
  - vim yy.py
  - touch yy.py
  - screen -S yy
  - python3 yy.py
/root/pty行为
- 查看定时任务并过滤掉包含"/root/pty"，"no cron" 和 "lesshts/run.sh"的行，并将结果输出到/var/run/.x001804289383 ）
  - sh -c (crontab -l | grep -v "/root/pty" | grep -v "no cron" | grep -v "lesshts/run.sh" > /var/run/.x001804289383) > /dev/null 2>&1
  - crontab /var/run/.x001804289383
  - rm -rf /var/run/.x001804289383