Trojan.Win32.MOOZ.THCCABO

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロでは、ビデオ会議アプリ「Zoom」の正規インストーラとマルウェアをバンドルし、Zoomを利用したいユーザをだまして不正にコインマイナーをインストールさせようとするサイバー犯罪者の活動を確認しました。この不正なZoomインストーラは、Zoomの公式ダウンロードサイトではなく、不正なWebサイトに存在していたと考えられます。不正サイトへ誘導された利用者は、正規のZoomインストーラではなく、プログラミング言語「AutoIt」でコンパイルされたマルウェアをダウンロードしてしまうことになります。

このマルウェアファイル内には正規のZoomインストーラと共に、仮想通貨発掘ツール（コインマイナー）が含まれています。これによりZoomをインストールしようとしたユーザは、意図せずコインマイナーをインストールされてしまい、不正な仮想通貨の発掘（マイニング）の被害に遭うことになります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %User Temp%\CL_Debug_Log.txt e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%User Temp%\CR_Debug_Log.txt" -o"%User Temp%\"
• C:\Windows\system32\cmd.exe /c schtasks.exe /Create /XML "%User Temp%\SystemCheck.xml" /TN "System\SystemCheck"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\asacpiex.dll -> archive file containing Coinminer.Win64.MOOZ.THCCABO
• %User Temp%\CL_Debug_Log.txt -> 7-zip Archiver
• %User Temp%\ZoomInstaller.exe -> normal Zoom Installer
• %User Temp%\CR_Debug_Log.txt -> archive file containing Coinminer.Win64.MOOZ.THCCABO
• %Application Data%\Microsoft\Windows\Helper.exe -> detected as Coinminer.Win64.MOOZ.THCCABO
• %User Temp%\SystemCheck.xml

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• System Information
• OS Version
• Video Controller
• Processors
• AV product
• Smartscreen
• Windows Defender

その他

マルウェアは、以下を実行します。

• It sends the gathered information to the following URL:
  • https://{BLOCKED}o.co/1IRnc

以下のスケジュールされたタスクを追加します：

• Task Name: SystemCheck
  Trigger: Daily: At 12:00 AM every day - After triggered, repeat every 00:01:00 indefinitely.
  Action: %userprofile%\AppData\Roaming\Microsoft\Windows\Helper.exe -SystemCheck

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\asacpiex.dll → Coinminer.Win64.MOOZ.THCCABOを含むアーカイブファイル
• %User Temp%\CL_Debug_Log.txt → 7-zipアーカイバ
• %User Temp%\ZoomInstaller.exe → 正規Zoomインストーラ
• %User Temp%\CR_Debug_Log.txt → Coinminer.Win64.MOOZ.THCCABOを含むアーカイブファイル
• %Application Data%\Microsoft\Windows\Helper.exe → Coinminer.Win64.MOOZ.THCCABOとして検出

情報漏えい

マルウェアは、以下の情報を収集します。

• システム情報
• オペレーティングシステム（OS）のバージョン
• ビデオコントローラ
• プロセッサ
• ウイルス対策製品
• Smartscreen
• Windows Defender

その他

マルウェアは、以下を実行します。

• マルウェアは、収集した情報を以下のURLに送信します:
  • https://{BLOCKED}o.co/1IRnc

以下のスケジュールされたタスクを追加します：

• タスク名: SystemCheck
• トリガー: 一日毎: 毎日午前12:00 - トリガー後、 00：01：00毎に無期限にタスクを繰り返す
• アクション: %userprofile%\AppData\Roaming\Microsoft\Windows\Helper.exe -SystemCheck