Действительно, по многим признакам это выглядит как агрессивная пакость, эксплуатирующая сабжевый баг.

Насколько я понимаю - оно пытается собирать данные для проведения дальнейших атак на иные ресурсы (возможно что наг для атак выбран не случайно: там сетевиков много, у них много интересных доступов -> ожидайте интересных взломов инфраструктуры).

Win, Mac и Linux каждому уделено персональное внимание, с отдельным списком потенциально интересных файлов и программ которые можно упереть в каждой из ОС.

Так что если у кого были какие-то приватные ключи ssh, без пароля, на одном юзере с лисой - поздравляю, быстренько бегите рекеить машины. Иначе там скоро поселятся подозрительные личности, используя ваши же ключи. Если еще не. Это же касается и файлов с паролями - типовые глупые имена файлов там как раз прописаны. Это конечно глуповатый data harvesting, но будучи произведеным на nag.ru а не вконтакте - он может дать и довольно интересный результат.

При том некоторые куски этой штуки наводят меня на мысль что это, возможно, какой-то родственник (или просто очередной модуль) небезызвестного dq (duq) или как там его правильно. Ну в общем того большого комплекса боевого ПО, сделанного кучей профи. Некоторые подходы и обозначения - напоминают именно этих субъектов.

Так что отправляй как это антивирусникам на анализ. Их кажется ждет интересное приключение в мире кибервойн.