dstr（設(shè)備破壞模塊）
時間：2022-03-22 07:18:01 | 來源：行業(yè)動態(tài)
時間：2022-03-22 07:18:01 來源：行業(yè)動態(tài)
dstr 模塊用于通過刪除正常操作所需的文件使受感染設(shè)備無法操作。在刪除系統(tǒng)中的其他文件前，該模塊首先刪除與自身操作相關(guān)的所有文件和文件夾，可能為了在調(diào)查分析期間隱藏自己的存在。
深入分析 x86 版本 dstr 模塊后發(fā)現(xiàn)，此模塊首先從磁盤中將其自身刪除，然后停止執(zhí)行父級第 2 階段進(jìn)程，再搜索所有正在運行的進(jìn)程，查找名為 vpnfilter、security 和 tor 的進(jìn)程并終止它們。接下來，顯式地刪除以下文件和目錄：
/var/tmp/client_ca.crt
/var/tmp/client.key
/var/tmp/client.crt
/var/run/vpnfilterm/htpx
/var/run/vpnfilter
/var/run/vpn.tmp
/var/run/vpn.pid
/var/run/torrc
/var/run/tord/hidden_ssh/private_key
/var/run/tord/hidden_ssh/hostname
/var/run/tor
/var/run/msvf.pid
/var/run/client_ca.crt
/var/run/client.key
/var/run/client.crt
/var/pckg/mikrotik.o
/var/pckg/.mikrotik.
/var/msvf.pid
/var/client_ca.crt
/var/client.key
/var/client.crt
/tmp/client_ca.crt
/tmp/client.key
/tmp/client.crt
/flash/nova/etc/loader/init.x3
/flash/nova/etc/init/security
/flash/nova/etc/devel-login
/flash/mikrotik.o
/flash/.mikrotik.
/var/run/vpnfilterw/
/var/run/vpnfilterm/
/var/run/tord/hidden_ssh/
/var/run/tord/
/flash/nova/etc/loader/
/flash/nova/etc/init/
dstr 模塊通過使用 0xFF 字節(jié)覆蓋所有可用 /dev/mtdX 設(shè)備的字節(jié)來清除閃存。最后，執(zhí)行 shell 命令 rm -rf /* 來刪除文件系統(tǒng)的其余文件，并重啟設(shè)備。此時，設(shè)備無任何需操作的文件，且無法啟動。
在線咨詢