TROJ_COINMINE.WA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

その他は、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

その他は、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %ProgramData%\UpdateService\UpdateService.exe
• %All User Profile%\UpdateService\UpdateService.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

その他は、以下のファイルを作成します。

• %ProgramData%\UpdateService\settings.dat
• %ProgramData%\UpdateService\UpdateService.exe.config
• %All User Profile%\UpdateService\settings.dat
• %All User Profile%\UpdateService\UpdateService.exe.config
• %System%\Tasks\UpdateService ← scheduled task

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他は、以下のプロセスを追加します。

• "%ProgramData%\UpdateService\UpdateService.exe"
• "%System%\schtasks.exe" /Delete /TN "UpdateService" /F
• "%System%\schtasks.exe" /Create /RU SYSTEM /SC ONSTART /TN "UpdateService" /TR "\"%ProgramData%\UpdateService\UpdateService.exe\" -t"
• "%System%\schtasks.exe" /Run /TN "UpdateService"
• taskeng.exe %ProgramData%\UpdateService\UpdateService.exe -t
• "%Windows%\Microsoft.NET\Framework\v2.0.50727\csc.exe" /noconfig /fullpaths @"%Windows%\TEMP\q5k7spts.cmdline"

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他は、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

その他は、以下のフォルダを作成します。

• %ProgramData%\UpdateService
• %All User Profile%\UpdateService

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

その他は、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\CLR_CASOFF_MUTEX
• Global\d3091c53-b5db-4e3a-a345-c8a648bd6f1b
• Global\.net clr networking

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにが実行されます。

• At every startup.

その他

その他は、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}uiden.se/wp-includes/js/tinymce/plugins/wpdialogs/js/log.php?url=/update/check
• http://{BLOCKED}uiden.se/wp-includes/js/tinymce/plugins/wpdialogs/js/info.php?url=/update/check
• http://{BLOCKED}los.net/wp-content/themes/themorningafter/images/log.php?url=/update/check
• http://{BLOCKED}los.net/wp-content/themes/themorningafter/images/info.php?url=/update/check
• http://{BLOCKED}t.ru/wp-admin/options-log.php?url=/update/check
• http://{BLOCKED}t.ru/wp-admin/options-info.php?url=/update/check
• http://{BLOCKED}oin.ru/wp-log.php?url=/update/check
• http://{BLOCKED}oin.ru/wp-info.php?url=/update/check
• http://{BLOCKED}nie62.ru/wp-content/plugins/revslider/admin/assets/images/sources/log.php?url=/update/check
• http://{BLOCKED}nie62.ru/wp-content/plugins/revslider/admin/assets/images/sources/info.php?url=/update/check
• http://{BLOCKED}stradoresdefincas.org/wp-includes/class-wp-log.php?url=/update/check
• http://{BLOCKED}stradoresdefincas.org/wp-includes/class-wp-info.php?url=/update/check
• http://{BLOCKED}proxy.com.ua/wp-admin/wp-info.php?url=/update/check
• http://{BLOCKED}proxy.com.ua/wp-admin/wp-log.php?url=/update/check
• http://{BLOCKED}s77.ru/index.php?route=product/category&path=8&url=/update/check
• http://{BLOCKED}erring.dk/wp-admin/info.php?url=/update/check
• http://{BLOCKED}erring.dk/wp-admin/log.php?url=/update/check
• chttp://{BLOCKED}z.ru/wp-content/plugins/js_omposer/assets/vc/editors/ui/vc_ui-header-graphics/log.php?url=/update/check
• http://{BLOCKED}z.ru/wp-content/plugins/js_composer/assets/vc/editors/ui/vc_ui-header-graphics/info.php?url=/update/check
• http://{BLOCKED}s77.ru/index.php?route=checkout/cart&url=/update/check
• http://{BLOCKED}casa.es/index.php?c=contacto&url=/update/check
• http://{BLOCKED}casa.es/index.php?b=chollos&url=/update/check
• http://www.{BLOCKED}ea-seeber.de/wp-includes/pomo/info.php?url=/update/check
• http://www.{BLOCKED}ea-seeber.de/wp-includes/pomo/log.php?url=/update/check
• http://{BLOCKED}.{BLOCKED}.118.135/system/log.php?url=/update/check
• http://{BLOCKED}ell.co.uk/wp-includes/log.php?url=/update/check
• http://{BLOCKED}ell.co.uk/wp-includes/info.php?url=/update/check
• http://{BLOCKED}klubimoy.ru/admin/servis/sale/log.php?url=/update/check
• http://{BLOCKED}.{BLOCKED}.118.135/system/info.php?url=/update/check
• http://{BLOCKED}klubimoy.ru/admin/servis/sale/info.php?url=/update/check
• http://{BLOCKED}66.hu/plugins/system/logout/info.php?url=/update/check
• http://{BLOCKED}66.hu/plugins/system/logout/log.php?url=/update/check
• http://{BLOCKED}op.ru/templates/beez3/html/layouts/joomla/system/info.php?url=/update/check
• http://{BLOCKED}op.ru/templates/beez3/html/layouts/joomla/system/log.php?url=/update/check
• http://{BLOCKED}k.ru/libraries/cms/schema/changeitem/log.php?url=/update/check
• http://{BLOCKED}k.ru/libraries/cms/schema/changeitem/info.php?url=/update/check
• http://{BLOCKED}n.ru/system/logs/log.php?url=/update/check
• http://{BLOCKED}n.ru/system/logs/info.php?url=/update/check
• http://{BLOCKED}x.com.ua/sass/ie/log.php?url=/update/check
• http://{BLOCKED}x.com.ua/sass/ie/style.php?url=/update/check
• http://{BLOCKED}eorth.com/info?url=/update/check
• http://{BLOCKED}eorth.com/log?url=/update/check