Trojan.Win32.MARSATORMIN.AA

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\MgmtFilterShim.ini - contains "+" string.

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{domain name}/resource
• http://{domain name}/modules.dat

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• c.{BLOCKED}z.tk
• {domain name}/profile.php?mac={mac address}&ip={ip address}&host={host}&tick={value}&os={os}&cpu={value}&{string}

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %System%\MarsTraceDiagnostics.xml - configuration file, it may contain the following data:
  • URLs including {domain name}
  • Coinminer files (%System%\TrustedHostex.exe) and arguments used
  • %Windows%\AppDiagnostics\Wininit.exe and Eternalblue/Doublepulsar-related Files

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %System%\MgmtFilterShim.ini - "+" を含む文字列。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{ドメイン名}/resource
• http://{ドメイン名}/modules.dat

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• c.{BLOCKED}z.tk
• {ドメイン名}/profile.php?mac={mac アドレス}&ip={IP アドレス}&host={ホスト}&tick={値}&os={OS}&cpu={値}&{文字列}

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %System%\MarsTraceDiagnostics.xml - 環境設定ファイルは、以下のデータを含んでいる可能性があります。
  • {ドメイン名}を含むURL
  • コインマイナーファイル (%System%\TrustedHostex.exe) と利用された引数
  • %Windows%\AppDiagnostics\Wininit.exeおよびEternalblue/Doublepulsar 関連のファイル

マルウェアは、以下を実行します。

• マルウェアは、ポート 60153 を開放し、リスニングを開始します。
• マルウェアは、％User Temp％\ tmp {ランダム}.{exe / tmp}として保存されている任意のファイルをダウンロードして、実行するコマンドをサーバ内で受け取ります。
• マルウェアは、％Windows％\ AppDiagnostics \ wininit.exeを、利用可能なプロセスに挿入します。挿入に失敗した場合、このファイルは直接実行されます。
• マルウェアは、％System％\ TrustedHostex.exeを、利用可能なプロセスに挿入します。挿入に失敗した場合、このファイルは直接実行されます。
• ファイルまたはモジュールを更新します。
• マルウェアは、％System％\ MarsTraceDiagnostics.xmlを参照して、このマルウェアの古いバージョンに関連するファイル、サービス、およびスケジュールされたタスクを削除します。

(Note: %User Temp% is the current user's Temp folder, which is usually C:\Documents and Settings\{user name}\Local Settings\Temp on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\AppData\Local\Temp on Windows Vista, 7, and 8.. %Windows% is the Windows folder, where it usually is C:\Windows on all Windows operating system versions.. %System% is the Windows system folder, where it usually is C:\Windows\System32 on all Windows operating system versions.)

マルウェアは、以下の情報を収集し、自身のサーバに送信します。

• MACアドレス
• IPアドレス
• ホスト名
• OS のバージョン
• CPUおよびGPU 情報

注意：

{ドメイン名} の値は、%System%\MarsTraceDiagnostics.xml ファイルによって異なります。このファイルには複数のURLが含まれる場合があります。