Coinminer.Win32.MALXMR.TIAOODDP

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のプロセスを追加します。

• cmd /c sc Create WebCliant binPath= "cmd /c start %Application Data%\Microsoft\Windows\desktop.vbs" type= own type= interact start= auto
• sc Create ChannelRent binPath= "cmd /c start %System%\Com\vsx.vbs" type= own type= interact start= auto

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

コインマイナーは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WebCliant
ImagePath = "cmd /c start %Application Data%\Microsoft\Windows\desktop.vbs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ChannelRent
ImagePath = "cmd /c start %System%\Com\vsx.vbs"

他のシステム変更

コインマイナーは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WebCliant
DisplayName = ""

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WebCliant
Start = "SERVICE_AUTO_START"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ChannelRent
DisplayName = ""

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ChannelRent
Start = "SERVICE_AUTO_START"

このウイルス情報は、自動解析システムにより作成されました。