Coinminer.SH.MALXMR.ATNG

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、2018年10月、コンテナ型仮想環境を提供するソフトウェア「Docker Engine Community 版」における設定の不備を悪用し、仮想通貨発掘マルウェアを拡散する攻撃を確認しました。感染 PC では Docker API が使用するポート「2375/TCP」および「2376/TCP」がインターネットに露出していました。

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のプロセスを追加します。

• xm.service

プロセスの終了

コインマイナーは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• xmrig
• proc
• xmr-stak
• minergate-cli
• bashd.service -> also disabled from starting automatically

ダウンロード活動

コインマイナーは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.165.97/k.php
• http://{BLOCKED}.{BLOCKED}.165.97/data.cfg
• http://{BLOCKED}.{BLOCKED}.165.97/xm -O /xm
• http://{BLOCKED}.{BLOCKED}.165.97/xm.service
• http://{BLOCKED}.{BLOCKED}.165.97/test.sh
• http://{BLOCKED}.{BLOCKED}.165.97/test3.sh

コインマイナーは、以下のファイル名でダウンロードしたファイルを保存します。

• {Malware Path}/data.cfg
• {Malware Path}/xm
• {Malware Path}/test.sh
• {Malware Path}/test3.sh
• /etc/systemd/system/xm.service

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

コインマイナーは、以下を実行します。

• ユーザ「richard」および「frank」を作成し、ルート権限を付与
• パスワードによる認証を有効化して Secure Socket Shell（SSH）デーモンを再起動
• 活動を持続するために追加のスクリプトおよびファイルをダウンロードし、実行権限を設定
• 拡散のためのネットワークスキャン活動 感染 PC が属するネットワークに対して毎秒 50,000 パケットで 2375 番ポートおよび2376 番ポートをスキャン、結果を “local.txt” ファイルに保存
• 予備調査のためのスキャンで発見したホストにツール群を複製し、拡散
• 攻撃者が意図した Monero 発掘プロセスを確認し、実行されていない場合プロセスを起動
• パッケージマネージャを利用し、「systemd」、「masscan」、「iproute2」をインストール