Coinminer.MSIL.MALXMR.TIAOODBL

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 コインマイナーは、他のマルウェアに作成され、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

コインマイナーは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.MULTDROPEX.A

インストール

コインマイナーは、以下のファイルを作成し実行します。

• %User Temp%\{chrome2 or setup}.exe - drops and executes the following:
  • %Application Data%\services64.exe - miner downloader module
  • %Application Data%\Libs\sihost64.exe - watchdog
  • %Application Data%\Libs\WR64.sys

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

コインマイナーは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
srevices64 = %Application Data%\services64.exe - Only added if not ran as administrator

他のシステム変更

コインマイナーは、以下のファイルを削除します。

• %Application Data%\Libs\sihost64.log
• %Application Data%\Libs\sihost64-2.log

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

コインマイナーは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://{BLOCKED}m.net:58899/assets/txt/resource_url.php?type=xmrig
• https://{BLOCKED}b.com/UnamSanctam/SilentXMRMiner/raw/master/SilentXMRMiner/Resources/xmrig.zip

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

コインマイナーは、以下の情報を収集します。

• Computer Name

その他

コインマイナーは、以下を実行します。

• It will not proceed with its intended routine if any of the following conditions are met:
  • Presence of the following strings in the machine's manufacturer model:
  • Virtual
  • vmware
  • VirtualBox
  • Running under a debugger or emulator
• It uses the following commandline for the miner module once downloaded successfully:
  • --cinit-find-x -B --algo=rx/0 --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=xmr-eu2.nanopool.org:14433 --user={BLOCKED}kV653RD7zSYeXSWRu1wnEDzPgFDFwntSnuRx7g4HbHPqNDGS6BW1bget6yyHyrPbBcVsdR6Ebxd843bMuK.main/password {BLOCKED}hint=30 --cinit-remote-config=\"v4Qq47ngFyBcSyO2uLKc6BJ+edII5Fll530cZ/+msGEWovb73nU3RrOnuNmRoFcg\" --cinit-idle-wait=5 --cinit-idle-cpu=70 --tls --cinit-stealth

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

• SbieDll.dll - terminates itself when found

以下のスケジュールされたタスクを追加します：

• Added only if run as administrator:
  • Task Name: services64
  • Task to be ran: %Application Data%\services64.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)