COINMINER.MSIL.MALXMR.TIAOODAI

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Windows%\Help\csrss.exe
• %Windows%\system\csrss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

コインマイナーは、以下のプロセスを追加します。

• "C:\Windows\System32\attrib.exe" C:\Windows\Help\csrss.exe -s -r -a -h
• "C:\Windows\System32\attrib.exe" C:\Windows\Help\lsass.exe -s -r -a -h
• "C:\Windows\System32\attrib.exe" C:\Windows\system\csrss.exe -s -r -a -h
• "C:\Windows\System32\cacls.exe" C:\Windows\Help\csrss.exe /e /g system:f
• "C:\Windows\System32\cacls.exe" C:\Windows\Help\lsass.exe /e /g everyone:f
• "C:\Windows\System32\cacls.exe" C:\Windows\Help\lsass.exe /e /g system:f
• "C:\Windows\System32\cacls.exe" C:\Windows\Help\csrss.exe /e /g everyone:f
• "C:\Windows\System32\cacls.exe" C:\Windows\system\csrss.exe /e /g everyone:f
• "C:\Windows\System32\cacls.exe" C:\Windows\system\csrss.exe /e /g system:f

自動実行方法

コインマイナーは、以下のサービスを開始します。

• • Service Name: wmiApSrvs
  • Display Name: WMI Performance Adaptor
  • Start Type: SERVICE_AUTO_START
  • Binary Pathname: %Windows%\Help\csrss.exe -s
• • Service Name: wmiApSrvs
  • Display Name: WMI Performance Adaptor
  • Start Type: SERVICE_AUTO_START
  • Binary Pathname: %Windows%\Help\csrss.exe -p

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

コインマイナーは、以下のファイルを削除します。

• %Windows%\Help\n.exe
• %Windows%\Help\c.exe
• %Windows%\Help\csrss.exe
• %Windows%\Help\lsass.exe
• %Windows%\system\csrss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

コインマイナーは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.80.200:8080/