Многокомпонентный троянец для ОС Linux. После запуска вредоносной программы инсталлятор троянца проверяет собственное наличие в системе, а также определяет, не запущена ли на компьютере виртуальная машина. Устанавливается в системе путем создания файла автозапуска (например, ~/.config/autostart/system-firewall.<строка>.desktop) и размещения собственной копии в одной из папок на диске (например, ~/.config/.System_Firewall/system-firewall.<строка>.config). В папке для хранения временных файлов троянец создает исполняемую библиотеку, которую пытается встроить во все запущенные процессы. Если вредоносной программе не удается встроить собственную библиотеку в какой-либо процесс, Linux.Hanthie запускает из временной папки новый исполняемый файл, отвечающий только за взаимодействие с управляющим сервером, а исходную копию удаляет.
Встраивает в браузеры Firefox, Google Chrome, Opera, Chromium и Ice Weasel граббер, перехватывающий HTTP и HTTPS-сессии и отправляющий злоумышленникам данные из заполняемых пользователем экранных форм. Трафик шифруется. Способен выполнять ряд команд:
- socks - запуск прокси-сервера
- bind - запуск скрипта для прослушивания порта
- bc – подключение к управляющему серверу
- update – загрузка и установка обновления
- rm — самоудаление
