TrojanSpy.MSIL.ZILPOW.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

概要:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• net users
• cmd.exe /c "net share ADMIN$ /delete"
• cmd.exe /c "net share C$ /delete"
• powershell.exe -noninteractive -Sta -encodedCommand {Base64 encoded}

情報漏えい

スパイウェアは、以下の情報を収集します。

• IP Address
• Computer Name
• User Name
• PS Remote details
• Running Processes
• Clipboard Details
• Keyboard Details

その他

詳細:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。その結果、感染コンピュータの動作が非常に遅くなります。

マルウェアは、以下を実行します。

• マルウェアは、クリップボードアクティビティを以下のファイルに保存します。
  • %Application Data%\microsoft\cl.slog
• マルウェアは、収集した情報を以下のファイルに保存します。
  • %Application Data%\microsoft\slog\top-{ランダムな文字}\info.txt
• マルウェアは、キー入力操作情報の詳細を以下のファイルに保存します。
  • %Application Data%\microsoft\ke.slog
• マルウェアは、仮想通貨発掘活動のために以下のパラメータを使用します。
  • -a cryptonight -o pool.{BLOCKED}txmr.com:8080 -u {Base64 encoded} -p x
• マルウェアは、以下の共有名への共有リソースを停止します。
  • ADMIN$
  • C$
• マルウェアは、仮想通貨発掘活動のために、以下のファイルをダウンロードします。
  • %Windows%\newxmr.exe .> %Windows%\xmr.exeに名前を変更
• マルウェアは、以下のファイルをダウンロードします。
  • %Windows%\commands.ps1
  • %Windows%\commands.{IPアドレス}.ps1
• マルウェアは、以下のURLに接続して、ファイルをダウンロードします。
  • ftp://{BLOCKED}:001xd@{BLOCKED}.{BLOCKED}.48.126/newxmr.exe
  • ftp://{BLOCKED}:001xd@{BLOCKED}.{BLOCKED}.48.126/serv/commands.ps1
  • ftp://{BLOCKED}:001xd@{BLOCKED}.{BLOCKED}.48.126/serv/commands.{コンピュータのIPアドレス}.ps1
• マルウェアは、以下の認証情報を使用してURLにアクセスし、ファイルをダウンロードします。
  • ユーザ名: {BLOCKED}p 
    パスワード: {BLOCKED}d
• マルウェアは、以下のURLに接続して、コンピュータのIPアドレスを取得します。
  • ifconfig.me/ip
• マルウェアは、「％Application Data％\ microsoft \ slog \ top- {ランダムな文字}」を以下のZIPファイルに変換して、C＆Cサーバにアップロードします。
  • %Application Data%\microsoft\myzip.zip
• マルウェアは、以下のURLに接続して、記録または収集されたコンピュータ情報を含むZIPファイルをアップロードします。
  • ftp://{BLOCKED}.{BLOCKED}.48.126/keys/

<補足>
情報漏えい

スパイウェアは、以下の情報を収集します。

• IPアドレス
• コンピュータ名
• ユーザ名
• PowerShellによる遠隔操作の詳細
• 実行中のプロセス
• クリップボードアクティビティの詳細
• キー入力操作情報の詳細