Coinminer.Win32.MALXMR.TIAOODDC

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

コインマイナーは、バックドア活動の機能を備えていません。

コインマイナーは、感染コンピュータ上の特定の情報を収集します。

概要:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のフォルダを追加します。

• %User Temp%\_MEI{Random numbers}
• %Temp%\_MEI{Random numbers}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

コインマイナーは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\HelpPane.exe -> Detected as Coinminer.Win32.MALXMR.TIAOODDC

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

コインマイナーは、以下のファイルを作成します。

• %User Temp%\_MEI{Random numbers}\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI{Random numbers}\Microsoft.VC90.CRT.manifest
• %User Temp%\_MEI{Random numbers}\_ctypes.pyd
• %User Temp%\_MEI{Random numbers}\_hashlib.pyd
• %User Temp%\_MEI{Random numbers}\_socket.pyd
• %User Temp%\_MEI{Random numbers}\_ssl.pyd
• %User Temp%\_MEI{Random numbers}\_win32sysloader.pyd
• %User Temp%\_MEI{Random numbers}\bz2.pyd
• %User Temp%\_MEI{Random numbers}\ftpcrack.exe.manifest
• %User Temp%\_MEI{Random numbers}\msvcm90.dll
• %User Temp%\_MEI{Random numbers}\msvcp90.dll
• %User Temp%\_MEI{Random numbers}\msvcr90.dll
• %User Temp%\_MEI{Random numbers}\netifaces.pyd
• %User Temp%\_MEI{Random numbers}\perfmon.pyd
• %User Temp%\_MEI{Random numbers}\psutil._psutil_windows.pyd
• %User Temp%\_MEI{Random numbers}\pyexpat.pyd
• %User Temp%\_MEI{Random numbers}\python27.dll
• %User Temp%\_MEI{Random numbers}\pywintypes27.dll
• %User Temp%\_MEI{Random numbers}\select.pyd
• %User Temp%\_MEI{Random numbers}\servicemanager.pyd
• %User Temp%\_MEI{Random numbers}\unicodedata.pyd
• %User Temp%\_MEI{Random numbers}\win32api.pyd
• %User Temp%\_MEI{Random numbers}\win32event.pyd
• %User Temp%\_MEI{Random numbers}\win32evtlog.pyd
• %User Temp%\_MEI{Random numbers}\win32service.pyd
• %User Temp%\_MEI{Random numbers}\Include\pyconfig.h
• %User Temp%\_MEI{Random numbers}\back.jpg → DLL File loaded by the malware during execution
• %User Temp%\_MEI{Random numbers}\certifi\cacert.pem
• %User Temp%\_MEI{Random numbers}\config.json → configuration file of the coinminer which contains the algorithm, username, password, URL, etc. used.
• %User Temp%\_MEI{Random numbers}\httplib2\cacerts.txt
• %User Temp%\_MEI{Random numbers}\xmrig.exe → executes the coinminer payload of the malware detected as Coinminer.Win32.MALREP.THCODBO
• %Temp%\_MEI{Random numbers}\Crypto.Cipher._AES.pyd
• %Temp%\_MEI{Random numbers}\Microsoft.VC90.CRT.manifest
• %Temp%\_MEI{Random numbers}\_ctypes.pyd
• %Temp%\_MEI{Random numbers}\_hashlib.pyd
• %Temp%\_MEI{Random numbers}\_socket.pyd
• %Temp%\_MEI{Random numbers}\_ssl.pyd
• %Temp%\_MEI{Random numbers}\_win32sysloader.pyd
• %Temp%\_MEI{Random numbers}\bz2.pyd
• %Temp%\_MEI{Random numbers}\ftpcrack.exe.manifest
• %Temp%\_MEI{Random numbers}\msvcm90.dll
• %Temp%\_MEI{Random numbers}\msvcp90.dll
• %Temp%\_MEI{Random numbers}\msvcr90.dll
• %Temp%\_MEI{Random numbers}\netifaces.pyd
• %Temp%\_MEI{Random numbers}\perfmon.pyd
• %Temp%\_MEI{Random numbers}\psutil._psutil_windows.pyd
• %Temp%\_MEI{Random numbers}\pyexpat.pyd
• %Temp%\_MEI{Random numbers}\python27.dll
• %Temp%\_MEI{Random numbers}\pywintypes27.dll
• %Temp%\_MEI{Random numbers}\select.pyd
• %Temp%\_MEI{Random numbers}\servicemanager.pyd
• %Temp%\_MEI{Random numbers}\unicodedata.pyd
• %Temp%\_MEI{Random numbers}\win32api.pyd
• %Temp%\_MEI{Random numbers}\win32event.pyd
• %Temp%\_MEI{Random numbers}\win32evtlog.pyd
• %Temp%\_MEI{Random numbers}\win32service.pyd
• %Temp%\_MEI{Random numbers}\Include\pyconfig.h
• %Temp%\_MEI{Random numbers}\back.jpg → DLL File loaded by the malware during execution
• %Temp%\_MEI{Random numbers}\certifi\cacert.pem
• %Temp%\_MEI{Random numbers}\config.json → configuration file of the coinminer which contains the algorithm, username, password, URL, etc. used.
• %Temp%\_MEI{Random numbers}\httplib2\cacerts.txt
• %Temp%\_MEI{Random numbers}\xmrig.exe → executes the coinminer payload of the malware detected as Coinminer.Win32.MALREP.THCODBO
• %Temp%\config → config file read by the malware during its execution
• %Temp%\link.txt → shortcut file pointing to Photos.scr (filename used by the malware for its copy sent to connected ftp servers)
• %Temp%\config.json → configuration file of the coinminer which contains the algorithm, username, password, URL, etc. used.
• %Temp%\xmrig.exe → executes the coinminer payload of the malware. Detected as Coinminer.Win32.MALREP.THCODBO

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

コインマイナーは、以下のプロセスを追加します。

• %System%\cmd.exe /c copy /y {Malware file path and name} %User Profile%\HelpPane.exe
• %System%\cmd.exe /c %User Profile%\HelpPane.exe --startup auto install
• %System%\cmd.exe /c %User Profile%\HelpPane.exe start

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

コインマイナーは、以下のサービスを追加し、実行します。

• • Service Name: StateftpService
  • Display Name: Application State ftp Service
  • Service Description: Application Support State ftp Service
  • Start Type: SERVICE_AUTO_START
  • Binary Pathname: %User Profile%\HelpPane.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

他のシステム変更

コインマイナーは、以下のファイルを削除します。

• %User Temp%\_MEI{Random numbers}\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI{Random numbers}\Microsoft.VC90.CRT.manifest
• %User Temp%\_MEI{Random numbers}\_ctypes.pyd
• %User Temp%\_MEI{Random numbers}\_hashlib.pyd
• %User Temp%\_MEI{Random numbers}\_socket.pyd
• %User Temp%\_MEI{Random numbers}\_ssl.pyd
• %User Temp%\_MEI{Random numbers}\_win32sysloader.pyd
• %User Temp%\_MEI{Random numbers}\bz2.pyd
• %User Temp%\_MEI{Random numbers}\ftpcrack.exe.manifest
• %User Temp%\_MEI{Random numbers}\msvcm90.dll
• %User Temp%\_MEI{Random numbers}\msvcp90.dll
• %User Temp%\_MEI{Random numbers}\msvcr90.dll
• %User Temp%\_MEI{Random numbers}\netifaces.pyd
• %User Temp%\_MEI{Random numbers}\perfmon.pyd
• %User Temp%\_MEI{Random numbers}\psutil._psutil_windows.pyd
• %User Temp%\_MEI{Random numbers}\pyexpat.pyd
• %User Temp%\_MEI{Random numbers}\python27.dll
• %User Temp%\_MEI{Random numbers}\pywintypes27.dll
• %User Temp%\_MEI{Random numbers}\select.pyd
• %User Temp%\_MEI{Random numbers}\servicemanager.pyd
• %User Temp%\_MEI{Random numbers}\unicodedata.pyd
• %User Temp%\_MEI{Random numbers}\win32api.pyd
• %User Temp%\_MEI{Random numbers}\win32event.pyd
• %User Temp%\_MEI{Random numbers}\win32evtlog.pyd
• %User Temp%\_MEI{Random numbers}\win32service.pyd
• %User Temp%\_MEI{Random numbers}\Include\pyconfig.h
• %User Temp%\_MEI{Random numbers}\back.jpg
• %User Temp%\_MEI{Random numbers}\certifi\cacert.pem
• %User Temp%\_MEI{Random numbers}\config.json
• %User Temp%\_MEI{Random numbers}\httplib2\cacerts.txt
• %User Temp%\_MEI{Random numbers}\xmrig.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

コインマイナーは、以下のフォルダを削除します。

• %User Temp%\_MEI{Random numbers}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

コインマイナーは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\StateftpService\PythonClass
(Default) = %User Profile%\HelpPane.PythonService

バックドア活動

コインマイナーは、バックドア活動の機能を備えていません。

ルートキット機能

コインマイナーは、ルートキット機能を備えていません。

プロセスの終了

コインマイナーは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Terminates the processes with the following strings/substrings:
  • xmr
  • miner
• Terminates processes with the following strings in their commandline arguments:
  • xmr
  • miner
  • tcp://
  • stratum

情報漏えい

コインマイナーは、感染コンピュータ上の以下の情報を収集します。

• Operating System (Windows or Linux)
• User Privilege (Admin or User)

その他

コインマイナーは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\StateftpService\PythonClass

コインマイナーは、以下を実行します。

• It connects to the following URL for its coinmining activities:
  • http://xmr.{BLOCKED}-pool.fr:3333
• It generates random ip addresses and uses bruteforce to connect to ftp servers using ports 21 or 2121. It then drops a copy of itself with the following file names:
  • Photo.scr
  • Video.scr
  • AV.scr
  It also uploads a shortcut file corresponding to dropped copy using the following file names:
  • Photo.lnk
  • Video.lnk
  • AV.lnk
  It searches for files with the following extensions:
  • html
  • htm
  • php
  • asp
  • stm
  • dhtm
  • phtm
  • xht
  • mht
  • htx
  • aspx
  • jsp
  • cgi
  • shtm
  • xml
  then adds an iframe that will execute the dropped copy.

マルウェアは、以下のパラメータを受け取ります。

• These parameters are contained inside the config file:
  • ‘[mdf]’ {command} ‘[/mdf]’ - Download File.
  • ‘[mdr]’ {command} ‘[/mdr]’ - Download and Run File + kill specified process names
  • ‘[mud]’ {command} ‘[/mud]’ - Update Self
  • ‘[mrn]’ {command} ‘[/mrn]’ - Execute Command

マルウェアは、脆弱性を利用した感染活動を行いません。

詳細:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。その結果、感染コンピュータの動作が非常に遅くなります。

コインマイナーは、以下の一連の認証情報を使用して、コンピュータへのブルートフォース攻撃およびアクセス権を取得します。

• ユーザ名のリスト:
  • 'www'
  • 'anonymous'
  • 'admin'
  • 'Admin'
  • 'root'
  • 'db'
  • 'wwwroot'
  • 'data'
  • 'web'
  • 'ftp'
  • 'administrator'
  • 'user'
  • 'user123'
  • 'test'
  • 'www-data'
• パスワードのリスト:
  • 'anonymous'
  • '123456'
  • 'admin'
  • 'root'
  • 'password'
  • '123123'
  • '123'
  • 'pass1234'
  • {ユーザ}'
  • {ユーザ}{ユーザ}'
  • {ユーザ}1'
  • {ユーザ}123'
  • {ユーザ}2016'
  • {ユーザ}2015'
  • {ユーザ}!'
  • ''
  • 'P@ssw0rd!!'
  • 'qwa123'
  • '12345678'
  • 'test'
  • '123qwe!@#'
  • '123456789'
  • '123321'
  • '1314520'
  • '159357'
  • {ユーザ}2017'
  • '666666'
  • 'woaini'
  • 'fuckyou'
  • '000000'
  • '1234567890'
  • '8888888'
  • 'qwerty'
  • '1qaz2wsx'
  • 'abc123'
  • 'abc123456'
  • '1q2w3e4r'
  • '123qwe'
  • {ユーザ}2019'
  • {ユーザ}2018'
  • 'p@ssw0rd'
  • 'p@55w0rd'
  • 'password!'
  • 'p@ssw0rd!'
  • 'password1'
  • 'r00t'
  • 'tomcat'
  • '5201314'
  • 'system'
  • 'pass'
  • '1234'
  • '12345'
  • '1234567'
  • 'devry'
  • '111111'
  • 'admin123'
  • 'derok010101'
  • 'windows'
  • 'email@email.com'
  • 'qazxswedc`123'
  • 'qwerty123456'
  • 'qazxswedc'

<補足>

インストール

コインマイナーは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\HelpPane.exe → 「Coinminer.Win32.MALXMR.TIAOODDC」として検出

コインマイナーは、以下のファイルを作成します。

• %User Temp%\_MEI{ランダムな数字}\back.jpg → 実行中にコインマイナーにより読み込まれるDLLファイル
• %User Temp%\_MEI{ランダムな数字}\config.json → 使用されるアルゴリズム、ユーザ名、パスワード、URLなどを含むコインマイナーの環境設定ファイル
• %User Temp%\_MEI{ランダムな数字}\xmrig.exe → ペイロードしたコインマイナー（「Coinminer.Win32.MALREP.THCODBO」として検出）の実行
• %Temp%\_MEI{ランダムな数字}\back.jpg → 実行中にコインマイナーにより読み込まれるDLLファイル
• %Temp%\_MEI{ランダムな数字}\config.json → 使用されるアルゴリズム、ユーザ名、パスワード、URLなどを含むコインマイナーの環境設定ファイル
• %Temp%\_MEI{Random numbers}\xmrig.exe → ペイロードしたコインマイナー（「Coinminer.Win32.MALREP.THCODBO」として検出）の実行
• %Temp%\config → 実行中にコインマイナーにより読み込まれる環境設定ファイル
• %Temp%\link.txt → 「Photos.scr」を指すショートカットファイル (接続されたFTPサーバに自身のコピーを送信するために本検体により使用されるファイル名)
• %Temp%\config.json → 使用されるアルゴリズム、ユーザ名、パスワード、URLなどを含むコインマイナーの環境設定ファイル
• %Temp%\xmrig.exe → ペイロードしたコインマイナー（「Coinminer.Win32.MALREP.THCODBO」として検出）の実行

自動実行方法

コインマイナーは、以下のサービスを追加し、実行します。

• • サービス名: StateftpService
  • 表示名: Application State ftp Service
  • サービスの記述: Application Support State ftp Service
  • スタートタイプ: SERVICE_AUTO_START
  • バイナリパス名: %User Profile%\HelpPane.exe

プロセスの終了

コインマイナーは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• 以下の文字列/部分文字列を含むプロセスを終了します。
  • xmr
  • miner
• コマンドライン引数内の以下の文字列を含むプロセスを終了します。
  • xmr
  • miner
  • tcp://
  • stratum

情報漏えい

コインマイナーは、感染コンピュータ上の以下の情報を収集します。

• オペレーティングシステム（OS） (WindowsまたはLinux)
• ユーザ権限 (管理者またはユーザ)

その他

コインマイナーは、以下を実行します。

• コインマイナーは、仮想通貨発掘活動のために以下のURLに接続します。
  • http://xmr.{BLOCKED}-pool.fr:3333
• コインマイナーは、ポート21または2121を介してFTPサーバに接続するためにランダムなIPアドレスを生成してブルートフォース攻撃を実行します。その後、コインマイナーは、以下のファイル名を使用して自身のコピーを作成します。
  • Photo.scr
  • Video.scr
  • AV.scr

  また、コインマイナーは、以下のファイル名を使用して、作成された自身のコピーに対応するショートカットファイルをアップロードします。

  • Photo.lnk
  • Video.lnk
  • AV.lnk

  コインマイナーは、以下の拡張子を持つファイルを検索します。

  • html
  • htm
  • php
  • asp
  • stm
  • dhtm
  • phtm
  • xht
  • mht
  • htx
  • aspx
  • jsp
  • cgi
  • shtm
  • xml

  その後、作成された自身のコピーを実行するiframeを追加します。

コインマイナーは、以下のパラメータを受け取ります。

• 以下のパラメータは、環境設定ファイル内に含まれています。
  • ‘[mdf]’ {コマンド} ‘[/mdf]’ - ファイルのダウンロード
  • ‘[mdr]’ {コマンド} ‘[/mdr]’ - ファイルのダウンロードおよび実行+特定のプロセス名の強制終了
  • ‘[mud]’ {コマンド} ‘[/mud]’ - 自身のアップデート
  • ‘[mrn]’ {コマンド} ‘[/mrn]’ - コマンドの実行