Trojan.Win64.MEYRUL.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %AppDataLocal%\Microsoft\Windows\Windows Defender\MSASRui.exe - copy of itself

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• %AppDataLocal%\Microsoft\Windows\Windows Defender\MSASRuil.exe (paremeters from config.txt) -a cryptonight -o stratum+tcp://xmr.{BLOCKED}.com:45560 -u {BLOCKED}@mail2tor.com -p x
• %AppDataLocal%\Microsoft\Windows\Windows Defender\ConfigSecurityPolicy.exe

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\Microsoft\Windows\Windows Defender\

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Defender Real-time protection = %AppDataLocal%\Microsoft\Windows\Windows Defender\MSASRui.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\system.pif - Aut2Exe.exe file
• %User Temp%\dll-302.ico - jpg icon
• %User Temp%\dll-303.ico - pdf icon
• %User Temp%\dll-304.ico - mov icon
• %User Temp%\dll-305.ico - mp3 icon
• %AppDataLocal%\Microsoft\Windows\Windows Defender\setting
• %AppDataLocal%\Microsoft\Windows\Windows Defender\MSASRuil.exe - detected as Coinminer.Win32.BITMINE.GF
• %AppDataLocal%\Microsoft\Windows\Windows Defender\ConfigSecurityPolicy.exe - detected as TROJ_GEN.R045C0WA820
• %AppDataLocal%\Microsoft\Windows\Windows Defender\vcruntime140.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\cudart32_65.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\msvcr100.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\msvcp140.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\pthreadVC2.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\config.txt - Coinminer Configuration File
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-rtlsupport-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-profile-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-processthreads-l1-1-1.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-processthreads-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-processenvironment-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-namedpipe-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-memory-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-localization-l1-2-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-libraryloader-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-interlocked-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-heap-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-handle-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-file-l2-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-file-l1-2-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-file-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-errorhandling-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-debug-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-datetime-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-console-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-utility-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-time-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-string-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-stdio-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-runtime-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-process-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-private-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-multibyte-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-math-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-locale-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-heap-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-filesystem-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-environment-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-convert-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-crt-conio-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-util-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-timezone-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-sysinfo-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-synch-l1-2-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-synch-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\api-ms-win-core-string-l1-1-0.dll
• %AppDataLocal%\Microsoft\Windows\Windows Defender\ucrtbase.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://u.{BLOCKED}.io/{String 1}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Microsoft\Windows\Windows Defender\{String 2}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name
• Logon Domain
• Serial Number of Drive C:\
• IP Address
• OS Version
• Number of Processors

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

マルウェアは、以下を実行します。

• It downloads {String 1} from the said website and saves it as {String 2}, where:
  • {String 1}:
    • KAJOe.exe
    • meyue.exe
    • tfhag.dll
    • ODJvl.dll
    • q0b3p.dll
    • QvwXI.dll
    • 5aKTU.dll
    • xq1u7.txt
    • 7jOxe.dll
    • CDMJf.dll
    • FvZOX.dll
    • VQmVf.dll
    • GgoN1.dll
    • 6Z1Ey.dll
    • 7jOxe.dll
    • CDMJf.dll
    • FvZOX.dll
    • VQmVf.dll
    • GgoN1.dll
    • 6Z1Ey.dll
    • Zqj53.dll
    • Vl9Aq.dll
    • WulJx.dll
    • EGkBS.dll
    • DAM80.dll
    • J2zX7.dll
    • pCSzw.dll
    • C2hWT.dll
    • 58lap.dll
    • c8vIX.dll
    • PjFat.dll
    • 5TMxN.dll
    • E8NEe.dll
    • 1p6ta.dll
    • QAY9e.dll
    • UKjLu.dll
    • uu8Pj.dll
    • A6SgS.dll
    • GV4Mn.dll
    • zxqWu.dll
    • 626ps.dll
    • IBYHQ.dll
    • guUN2.dll
    • Jecqq.dll
    • 8k10R.dll
    • a5pGg.dll
    • 7dWCn.dll
    • QeSH2.dll
    • dTHMz.dll
    • wSqvO.dll
    • NsQU7.dll
    • DW9F4.dll
    • yt4F7.dll
    • zHuqW.dll
    • myXlT.dll
  • {String 2}:
    • MSASRuil.exe
    • ConfigSecurityPolicy.exe
    • vcruntime140.dll
    • cudart32_65.dll
    • msvcr100.dll
    • msvcp140.dll
    • pthreadVC2.dll
    • config.txt
    • api-ms-win-core-rtlsupport-l1-1-0.dll
    • api-ms-win-core-profile-l1-1-0.dll
    • api-ms-win-core-processthreads-l1-1-1.dll
    • api-ms-win-core-processthreads-l1-1-0.dll
    • api-ms-win-core-processenvironment-l1-1-0.dll
    • api-ms-win-core-namedpipe-l1-1-0.dll
    • api-ms-win-core-memory-l1-1-0.dll
    • api-ms-win-core-localization-l1-2-0.dll
    • api-ms-win-core-libraryloader-l1-1-0.dll
    • api-ms-win-core-interlocked-l1-1-0.dll
    • api-ms-win-core-heap-l1-1-0.dll
    • api-ms-win-core-handle-l1-1-0.dll
    • api-ms-win-core-file-l2-1-0.dll
    • api-ms-win-core-file-l1-2-0.dll
    • api-ms-win-core-file-l1-1-0.dll
    • api-ms-win-core-errorhandling-l1-1-0.dll
    • api-ms-win-core-debug-l1-1-0.dll
    • api-ms-win-core-datetime-l1-1-0.dll
    • api-ms-win-core-console-l1-1-0.dll
    • api-ms-win-crt-utility-l1-1-0.dll
    • api-ms-win-crt-time-l1-1-0.dll
    • api-ms-win-crt-string-l1-1-0.dll
    • api-ms-win-crt-stdio-l1-1-0.dll
    • api-ms-win-crt-runtime-l1-1-0.dll
    • api-ms-win-crt-process-l1-1-0.dll
    • api-ms-win-crt-private-l1-1-0.dll
    • api-ms-win-crt-multibyte-l1-1-0.dll
    • api-ms-win-crt-math-l1-1-0.dll
    • api-ms-win-crt-locale-l1-1-0.dll
    • api-ms-win-crt-heap-l1-1-0.dll
    • api-ms-win-crt-filesystem-l1-1-0.dll
    • api-ms-win-crt-environment-l1-1-0.dll
    • api-ms-win-crt-convert-l1-1-0.dll
    • api-ms-win-crt-conio-l1-1-0.dll
    • api-ms-win-core-util-l1-1-0.dll
    • api-ms-win-core-timezone-l1-1-0.dll
    • api-ms-win-core-sysinfo-l1-1-0.dll
    • api-ms-win-core-synch-l1-2-0.dll
    • api-ms-win-core-synch-l1-1-0.dll
    • api-ms-win-core-string-l1-1-0.dll
    • ucrtbase.dll