Trojan.PS1.POWTRAN.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\WindowsPowerShell\v1.0\WinRing0x64.sys ->Allows XMRig to boost mining capability
• %System%\mue.exe -> Detected as Coinminer.Win64.MALXMR.TDI

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• powercfg /CHANGE -standby-timeout-ac 0
• powercfg /CHANGE -hibernate-timeout-ac 0
• powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000
• powershell -NoP -NonI -W Hidden -exec bypass `"`$fun={base-64 encoded script};`$defun=[System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String(`$fun));iex `$defun;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('$EncodedScript'))) - For Windows 10
• powershell -NoP -NonI -W Hidden -exec bypass -E {base-64 encoded script} - For Windows 7
• netstat -anop tcp
• %System%\schtasks.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\schtasks.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Temp%\gpt.ps1

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Processes that have an ESTABLISHED network connection via port 3333, 5555, 7777
• Processes that have an ESTABLISHED network connection via port 49636, 14444, 14433, 80, 443

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}.net/bannerl
• http://{BLOCKED}.net/sync
• https://raw.{BLOCKED}.com/{BLOCKED}up/master/domtar

その他

マルウェアは、以下を実行します。

• It may connect to the following mining pool:
  • xmr-{BLOCKED}.org:14444
  • xmr-asia1.{BLOCKED}.org:14444
  • xmr-us-west1.{BLOCKED}.org:14444
  • xmr-us-east1.{BLOCKED}.org:14444
  • xmr-eu2.{BLOCKED}.org:14444
  • mine.{BLOCKED}.net:80
  • pool.{BLOCKED}.com:80
• It is capable of propagating in the local network via the following means:
  • Mimikatz