Coinminer.Win64.MALXMR.TIAOODHW

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

コインマイナーは、ワーム活動の機能を備えていません。

コインマイナーは、バックドア活動の機能を備えていません。

概要:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のフォルダを追加します。

• %User Profile%\Windows Security
• %User Profile%\Windows Security\Update
• %User Profile%\AppData\Roaming\Google\Libs

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

コインマイナーは、以下のファイルを作成します。

• %User Profile%\AppData\Roaming\Google\Libs\g.log
• %User Profile%\Windows Security\Update\winsvrupd.exe → dropped copy of itself

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

コインマイナーは、以下のプロセスを追加します。

• %System%\WindowsPowerShell\v1.0\powershell.exe <#fwjcobfk#> {powershell command}
• "%System%\schtasks.exe" /create /f /sc onlogon /rl highest /tn GoogleUpdateTaskMachine /tr "'%User Profile%\Windows Security\Update\winsvrupd.exe'"
• %System%\WindowsPowerShell\v1.0\powershell.exe <#boaqiqu#> {powershell command}
• "%System%\schtasks.exe" /run /tn GoogleUpdateTaskMachine
• %System%\cmd.exe /c wmic PaTH Win32_VideoController GET Name, VideoProcessor > "%User Profile%\appData\Roaming\Google\Libs\g.log"
• wmic PaTH Win32_VideoController GET Name, VideoProcessor
• %System%\cmd.exe {encrypted strings}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

コインマイナーは、以下のプロセスにコードを組み込みます。

• cmd.exe

感染活動

コインマイナーは、ワーム活動の機能を備えていません。

バックドア活動

コインマイナーは、バックドア活動の機能を備えていません。

ルートキット機能

コインマイナーは、ルートキット機能を備えていません。

情報漏えい

コインマイナーは、以下の情報を収集します。

• System Information
• Video Processor

その他

コインマイナーは、以下を実行します。

• It checks if the current user has administrator privileges.
• It checks if the version of Windows is less than 6.2 (which corresponds to Windows 8).
• It creates a scheduled task.
  • Task Name: GoogleUpdateTaskMachine
  • Trigger: At log on
  • Action: "%User Profile%\Windows Security\Update\winsvrupd.exe"
• If scheduled task creation fails, it will create an autorun registry to execute its drop copy.
• Uses the embedded configuration for its coin mining routine:
  • Algo = rx/0
  • URL = 185.{BLOCKED}:5151 → used as mining pool
  • User = "{BLOCKED}BUvYC98"
  • Password = "x"
  • Cpu max threads hint = 20
  • Cinit version = "3.1.0"
  • Cinit id = "{BLOCKED}zfyp"
• Supported Algorithms:
  • cn
  • cn/0
  • cn/1
  • cn/2
  • cn/r
  • cn/fast
  • cn/half
  • cn/xao
  • cn/rto
  • cn/rwz
  • cn/zls
  • cn/double
  • cn/ccx
  • cn-lite
  • cn-lite/0
  • cn-lite/1
  • cn-heavy
  • cn-heavy/0
  • cn-heavy/tube
  • cn-heavy/xhv
  • cn-pico
  • cn-pico/tlo
  • cn/upx2
  • cn/gpu
  • rx
  • rx/0
  • rx/wow
  • rx/arq
  • rx/graft
  • rx/sfx
  • rx/keva
  • argon2
  • argon2/chukwa
  • argon2/chukwav2
  • argon2/ninja
  • kawpow

マルウェアは、以下のパラメータを受け取ります。

• -o or --url=URL -URL of mining server
• -a or --algo=ALGO -mining algorithm
• --coin=COIN -specify coin instead of algorithm
• -u or --user=USERNAME -username for mining server
• -p or --pass=PASSWORD -password for mining server
• -O or --userpass=U:P -username:password pair for mining server
• -x or --proxy=HOST:PORT -connect through a SOCKS5 proxy
• -k or --keepalive -send keepalive packet for prevent timeout (needs pool support)
• --nicehash -enable nicehash support
• --rig-id=ID -rig identifier for pool-side statistics (needs pool support)
• --tls -enable SSL/TLS support (needs pool support)
• --tls-fingerprint=HEX -pool TLS certificate fingerprint for strict certificate pinning
• --daemon -use daemon RPC instead of pool for solo mining
• --daemon-poll-interval=N -daemon poll interval in milliseconds (default: 1000)
• --self-select=URL -self-select block templates from URL
• -r or --retries=N -number of times to retry before switch to backup server (default: 5)
• -R or --retry-pause=N -time to pause between retries (default: 5)
• --user-agent -set custom user-agent string for pool
• --donate-level=N -donate level, default 1% (1 minute in 100 minutes)
• --donate-over-proxy=N -control donate over xmrig-proxy feature
• --no-cpu -disable CPU mining backend
• -t or --threads=N -number of CPU threads. Proper CPU affinity required for some optimizations.
• --cpu-affinity -set process affinity to CPU core(s), mask 0x3 for cores 0 and 1
• -v or --av=N -algorithm variation, 0 auto select
• --cpu-priority -set process priority (0 idle, 2 normal to 5 highest)
• --cpu-max-threads-hint=N -maximum CPU threads count (in percentage) hint for autoconfig
• --cpu-memory-pool=N -number of 2 MB pages for persistent memory pool, -1 (auto), 0 (disable)
• --cpu-no-yield -prefer maximum hashrate rather than system response/stability
• --no-huge-pages -disable huge pages support
• --hugepage-size=N -custom hugepage size in kB (Linux only)
• --asm=ASM -ASM optimizations, possible values: auto, none, intel, ryzen, bulldozer
• --randomx-init=N -thread count to initialize RandomX dataset
• --randomx-no-numa -disable NUMA support for RandomX
• --randomx-mode=MODE -RandomX mode: auto, fast, light
• --randomx-1gb-pages -use 1GB hugepages for RandomX dataset (Linux only)
• --randomx-wrmsr=N -write custom value(s) to MSR registers or disable MSR mod (-1)
• --randomx-no-rdmsr -disable reverting initial MSR values on exit
• --astrobwt-max-size=N -skip hashes with large stage 2 size, default: 550, min: 400, max: 1200
• --astrobwt-avx2 -enable AVX2 optimizations for AstroBWT algorithm
• --opencl -enable OpenCL mining backend
• --opencl-devices=N -comma separated list of OpenCL devices to use
• --opencl-platform=N -OpenCL platform index or name
• --opencl-loader=PATH -path to OpenCL-ICD-Loader (OpenCL.dll or libOpenCL.so)
• --opencl-no-cache -disable OpenCL cache
• --print-platforms -print available OpenCL platforms and exit
• --cuda -enable CUDA mining backend
• --cuda-loader=PATH -path to CUDA plugin (xmrig-cuda.dll or libxmrig-cuda.so)
• --cuda-devices=N -comma separated list of CUDA devices to use
• --cuda-bfactor-hint=N -bfactor hint for autoconfig (0-12)
• --cuda-bsleep-hint -bsleep hint for autoconfig
• --no-nvml -disable NVML (NVIDIA Management Library) support
• --api-worker-id=ID -custom worker-id for API
• --api-id=ID -custom instance ID for API
• --http-host=HOST -bind host for HTTP API (default: 127.0.0.1)
• --http-port=N -bind port for HTTP API
• --http-access-token=T -access token for HTTP API
• --http-no-restricted -enable full remote access to HTTP API (only if access token set)
• -S or --syslog -use system log for output messages
• -l or --log-file=FILE -log all output to a file
• --print-time=N -print hashrate report every N seconds
• --health-print-time=N -print health report every N seconds
• --no-color -disable colored output
• --verbose -verbose output
• -c or --config=FILE -load a JSON-format configuration file
• -B or --background -run the miner in the background
• -V or --version -output version information and exit
• -h or --help -display this help and exit
• --dry-run -test configuration and exit
• --export-topology -export hwloc topology to a XML file and exit
• --title set -custom console window title
• --no-title -disable setting console window title

マルウェアは、脆弱性を利用した感染活動を行いません。

詳細:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。その結果、感染コンピュータの動作が非常に遅くなります。

<補足>
インストール

コインマイナーは、以下のファイルを作成します。

• %User Profile%\AppData\Roaming\Google\Libs\g.log
• %User Profile%\Windows Security\Update\winsvrupd.exe → 作成された自身のコピー

情報漏えい

コインマイナーは、以下のデータを収集します。

• システム情報
• ビデオプロセッサ

その他

コインマイナーは、以下を実行します。

• 現在のユーザが管理者権限を持っているかどうかを確認します。
• Windowsのバージョンが6.2（Windows 8 に相当） 以前のものかどうかを確認します。
• スケジュールタスクを作成します。
  • タスク名: GoogleUpdateTaskMachine
  • トリガ: ログオン時
  • タスクアクション: "%User Profile%\Windows Security\Update\winsvrupd.exe"
• スケジュールタスクの作成に失敗した場合、コインマイナーは、作成した自身のコピーを実行するために自動実行機能（レジストリ）を作成します。
• 組み込まれた環境設定を自身のマイニング活動に使用します。
  • アルゴリズム = rx/0
  • URL = 185.{BLOCKED}:5151 → マイニングプールとして使用
  • ユーザ = "{BLOCKED}BUvYC98"
  • パスワード = "x"
  • CPUの最大スレッド数 = 20
  • Cinitのバージョン = "3.1.0"
  • Cinit ID = "{BLOCKED}zfyp"
• サポートされているアルゴリズム：
  • cn
  • cn/0
  • cn/1
  • cn/2
  • cn/r
  • cn/fast
  • cn/half
  • cn/xao
  • cn/rto
  • cn/rwz
  • cn/zls
  • cn/double
  • cn/ccx
  • cn-lite
  • cn-lite/0
  • cn-lite/1
  • cn-heavy
  • cn-heavy/0
  • cn-heavy/tube
  • cn-heavy/xhv
  • cn-pico
  • cn-pico/tlo
  • cn/upx2
  • cn/gpu
  • rx
  • rx/0
  • rx/wow
  • rx/arq
  • rx/graft
  • rx/sfx
  • rx/keva
  • argon2
  • argon2/chukwa
  • argon2/chukwav2
  • argon2/ninja
  • kawpow

コインマイナーは、以下のパラメータを受け入れます。

• -o or --url=URL -マイニングサーバのURL
• -a or --algo=ALGO -マイニングアルゴリズム
• --coin=COIN -アルゴリズムの代わりにコインを指定する
• -u or --user=USERNAME -マイニングサーバのユーザ名
• -p or --pass=PASSWORD -マイニングサーバのパスワード
• -O or --userpass=U:P -マイニングサーバのユーザ名とパスワードの組み合わせ
• -x or --proxy=HOST:PORT -SOCKS5プロキシ経由で接続する
• -k or --keepalive -タイムアウトにならないよう「keepalived」を送信する（プールサポートが必要）
• --nicehash -「nicehash」のサポートを有効化する
• --rig-id=ID -プールサイド統計のリグ識別子 (プールサポートが必要)
• --tls -SSL/TLSサポートを有効化する（プールサポートが必要）
• --tls-fingerprint=HEX -厳密な証明書ピンニングに対するTLS証明書プールのフィンガープリント
• --daemon -ソロマイニングに対してプールの代わりにデーモンRPCを使用する
• --daemon-poll-interval=N -デーモンのポーリング間隔 (ミリ秒) (初期設定: 1000)
• --self-select=URL -URLからブロックテンプレートを自己選択する
• -r or --retries=N -バックアップサーバに切り替える前のリトライ回数（初期設定:5）
• -R or --retry-pause=N -リトライ間の中断時間（初期設定:5）
• --user-agent -プール用にカスタムされたuser-agent文字列を設定する
• --donate-level=N -寄付、初期設定:5% (100分中5分間分は寄付)
• --donate-over-proxy=N -xmrig-proxy機能における寄付を制御する
• --no-cpu -CPUマイニングのバックエンドを無効化する
• -t or --threads=N -CPU のスレッド数。一部の最適化には、適切な CPUアフィニティが必要です。
• --cpu-affinity -CPUのコアにプロセスのアフィニティを設定する（コア0 と1 に対しmask 0x3）
• -v or --av=N -アルゴリズムの種類、自動選択0
• --cpu-priority -プロセスの優先度を設定する（アイドル0 、ノーマル2から最高5まで）
• --cpu-max-threads-hint=N -autoconfigに対するCPUの最大スレッド数（パーセント）
• --cpu-memory-pool=N -永続メモリのプールに対する2 MBページの数、-1 (自動)、0 (無効)
• --cpu-no-yield -システムの応答 / 安定性よりもハッシュレートの最大化を優先させる
• --no-huge-pages -Huge Pageのサポートを無効化する
• --hugepage-size=N -kB単位でカスタムされたHuge Pageのサイズ (Linux のみ)
• --asm=ASM -ASMの最適化、可能な値: auto、none、intel、ryzen、buldozer
• --randomx-init=N -RandomXのデータセットを初期化するスレッド数
• --randomx-no-numa -RandomXのNUMAサポートを無効化する
• --randomx-mode=MODE -RandomXのモード: 自動、高速、軽量
• --randomx-1gb-pages -RandomXのデータセットに1GB のHuge Pageを使用する（Linuxのみ）
• --randomx-wrmsr=N -MSRレジスタにカスタム値を書き込むか、MSR modを無効化する（-1）
• --randomx-no-rdmsr -終了時にMSRの初期値を戻せないようにする
• --astrobwt-max-size=N -ステージ2のサイズが大きいハッシュをスキップする。初期設定: 550、最小: 400、最大: 1200
• --astrobwt-avx2 -AstroBWTアルゴリズムに対しAVX2の最適化を有効化する
• --opencl -OpenCLマイニングのバックエンドを有効化する
• --opencl-devices=N -使用するOpenCLデバイスをコンマで区切ったリスト
• --opencl-platform=N -OpenCLプラットフォームのインデックスあるいは名前
• --opencl-loader=PATH -OpenCL-ICD-Loaderへのパス（「OpenCL.dll」あるいは「libOpenCL.so」）
• --opencl-no-cache -OpenCLのキャッシュを無効化する
• --print-platforms -利用可能なOpenCLプラットフォームを出力して終了する
• --cuda -CUDAマイニングのバックエンドを有効化する
• --cuda-loader=PATH -CUDAプラグインへのパス（「xmrig-cuda.dll」あるいは「libxmrig-cuda.so」）
• --cuda-devices=N -使用するCUDAデバイスをコンマで区切ったリスト
• --cuda-bfactor-hint=N -autoconfigに対するbfactorの数値（0-12）
• --cuda-bsleep-hint -autoconfigに対するbsleepの数値
• --no-nvml -NVML（NVIDIA Management Library）サポートを無効化する
• --api-worker-id=ID -APIのカスタムWorkerID
• --api-id=ID -APIのカスタムインスタンス ID
• --http-host=HOST -HTTP APIに対してバインドされるホスト（初期設定: 127.0.0.1）
• --http-port=N -HTTP APIに対してバインドされるポート
• --http-access-token=T -HTTP APIに対するアクセストークン
• --http-no-restricted -HTTP APIへのフルリモートアクセスを有効化する（アクセストークンが設定されている場合のみ）
• -S or --syslog -出力メッセージにシステムログを使用する
• -l or --log-file=FILE -すべての出力をファイルに記録する
• --print-time=N -N秒ごとにハッシュレートを出力する
• --health-print-time=N -N秒ごとにヘルスレポートを出力する
• --no-color -カラー出力を無効化する
• --verbose -verbose（進行状況メッセージの出力）
• -c or --config=FILE -JSONフォーマットの環境設定ファイルを読み込む
• -B or --background -バックグラウンドでコインマイナーを実行する
• -V or --version -バージョン情報を出力して終了する
• -h or --help -ヘルプを表示して終了する
• --dry-run -構成をテストして終了する
• --export-topology -ハードウェアローカリティのトポロジをXMLファイルにエクスポートして終了する
• --title set -カスタムコンソールのウインドウタイトル
• --no-title -コンソールのウインドウタイトルの設定を無効化する