Trojan (cinese?) su server Debian

Su un server Debian ho trovato un file denominato zcrunqppuv all'interno della directory /boot con un corrispettivo script di lancio in /etc/init.d/
Sulla macchina (non aggiornata) erano attivi lighthttpd, ssh, vnc e teamviewer

Il file ha una dimensione di 621980 bytes ed una firma MD5 33e562001c623b69ac433f4951106a51

Visto il nome e visto che non ricordo di aver mai visto una Debian con un nome di questo tipo dentro /boot ho provato ad indagare. Con il comando file si ha che

zcrunqppuv: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), statically linked, for GNU/Linux 2.6.9, not stripped

ho provato a decompilarlo con RecStudio ma il programma non terminava mai l'elaborazione. Mediante objdump e strings ho recuperato l'inizio del programma

------------------------------------------ 

 8048110 31ed5e89 e183e4f0 50545268 90490508  1.^.....PTRh.I..

 8048120 68d04905 08515668 d0c90408 e8efc000  h.I..QVh........

 8048130 00f49090 5589e553 83ec04e8 00000000  ....U..S........

 8048140 5b81c320 4f08008b 93fcffff ff85d274  [.. O..........t

 8048150 05e8aa7e fbf7585b c9c39090 90909090  ...~..X[........

 8048160 5589e553 83ec0480 3dc4db0c 08007554  U..S....=.....uT

 8048170 b824d00c 082d1cd0 0c08c1f8 028d58ff  .$...-........X.

 8048180 a1c0db0c 0839c376 1f8db426 00000000  .....9.v...&....

 8048190 83c001a3 c0db0c08 ff14851c d00c08a1  ................

 80481a0 c0db0c08 39c377e8 b870f80a 0885c074  ....9.w..p.....t

 80481b0 0cc70424 7c6b0c08 e8b37606 00c605c4  ...$|k....v.....

 80481c0 db0c0801 83c4045b 5dc38db6 00000000  .......[].......

 80481d0 55b8d0fa 0a0889e5 83ec18e8 00000000  U...............

 80481e0 5a81c280 4e080085 c0742089 54240cc7  Z...N....t .T$..

 80481f0 44240800 000000c7 442404c8 db0c08c7  D$......D$......

 8048200 04247c6b 0c08e8c5 780600a1 28d00c08  .$|k....x...(...

 8048210 85c07412 b8000000 0085c074 09c70424  ..t........t...$

 8048220 28d00c08 ffd0c9c3 5589e583 ec188b45  (.......U......E

 8048230 10894424 088b450c 89442404 8b450889  ..D$..E..D$..E..

 8048240 0424e879 d901008b 45108944 24048b45  .$.y....E..D$..E

 8048250 08890424 e8271100 00b80000 0000c9c3  ...$.'..........

 8048260 5589e583 ec288b45 0c83e801 89442408  U....(.E.....D$.

 8048270 8b450889 442404c7 0424911c 0b08e8cd  .E..D$...$......

------------------------------------------

Tra le stringhe si osservano i seguenti indirizzi IP

1.1.2.1 (Cina)

103.25.9.228 (Cina)

8.8.8.8 (il DNS di Google)

Un altro aspetto interessante e' la seguente sequenza

------------------------------------------

Accept: */*

Accept-Language: zh-cn

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)

Connection: Keep-Alive

http://

POST %s HTTP/1.1

%sHost: %s

Content-Type: application/x-www-form-urlencoded

------------------------------------------

zh-cn indica il codice del cinese semplificato cinese semplificato 

inoltre c'e' la seguente sequenza

------------------------------------------

Genu

Auth

cAMD

enti

ntel

ineI

------------------------------------------

che riordinata indica GenuineIntelAuthenticAMD

inoltre la sequenza

------------------------------------------

/usr

/lib

/gcof

------------------------------------------

e' stata ritrovata a questo link su un programma per l'indentificazione di malware

------------------------------------------

 80b1c00 03000000 01000200 00000000 484f4d45  ............HOME

 80b1c10 3d2f0048 49535446 494c453d 2f646576  =/.HISTFILE=/dev

 80b1c20 2f6e756c 6c004d59 53514c5f 48495354  /null.MYSQL_HIST

 80b1c30 46494c45 3d2f6465 762f6e75 6c6c0000  FILE=/dev/null..

 80b1c40 50415448 3d2f6269 6e3a2f73 62696e3a  PATH=/bin:/sbin:

 80b1c50 2f757372 2f62696e 3a2f7573 722f7362  /usr/bin:/usr/sb

 80b1c60 696e3a2f 7573722f 6c6f6361 6c2f6269  in:/usr/local/bi

 80b1c70 6e3a2f75 73722f6c 6f63616c 2f736269  n:/usr/local/sbi

 80b1c80 6e3a2f75 73722f58 31315236 2f62696e  n:/usr/X11R6/bin

 80b1c90 002f7072 6f632f73 656c662f 65786500  ./proc/self/exe.

 80b1ca0 2f70726f 632f2564 2f657865 0023212f  /proc/%d/exe.#!/

 80b1cb0 62696e2f 73680a25 730a002f 6574632f  bin/sh.%s../etc/

 80b1cc0 696e6974 2e642f25 73007700 2f657463  init.d/%s.w./etc

 80b1cd0 2f726325 642e642f 53393025 73006d20  /rc%d.d/S90%s.m 

 80b1ce0 5d29351c 36002573 2573002f 7362696e  ])5.6.%s%s./sbin

 80b1cf0 2f696e73 6d6f6400 7f454c46 00000000  /insmod..ELF....

------------------------------------------

Le prime linee mandano verso /dev/null in modo da non registrare nulla sulla history di bash (in pratica si nasconde cio' che viene digitato sulla shell

------------------------------------------

HOME=/

HISTFILE=/dev/null

MYSQL_HISTFILE=/dev/null

PATH=/bin:/sbin:/usr/bin:/usr/sbin:/usr/local/bin:/usr/local/sbin:/usr/X11R6/bin

/proc/self/exe

/proc/%d/exe

#!/bin/sh

/etc/init.d/%s

/etc/rc%d.d/S90%s

m ])5

%s%s

/sbin/insmod

/proc/net/dev

/proc/rs_dev

Accept: */*

Accept-Language: zh-cn

User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; TencentTraveler ; .NET CLR 1.1.4322)

Connection: Keep-Alive

http://

POST %s HTTP/1.1

%sHost: %s

Content-Type: application/x-www-form-urlencoded

Content-Length: %d

%s%s

GET %s HTTP/1.1

%sHost: %s

/proc/net/tcp

socket:[

/proc

/proc/%d/exe

/proc/%d/fd

/proc/%s/fd/%s

info=

%u:%s|

%s_%d:%s|

%s/%s

md5=

denyip=

filename=

rmfile=

------------------------------------------

il codice risulta essere stato compilato su 

GCC: (GNU) 4.1.2 20080704 (Red Hat 4.1.2-46)

il che e' strano dato che la macchina e' una Debian

In conclusione non ho trovato niente su Google ma ho qualcosa di piu' di un sospetto che si tratti di un malware di origine cinese