TSPY_COINMINER.AW

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Windows%\Prefetch\wuauser.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のファイルを作成します。

• %Temp%\{random value}.{random value}_Miner_.log

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

自動実行方法

スパイウェアは、以下のサービスを追加し、実行します。

• Service Name: WELM
  Display Name: Windows Event Log Management
  Start Type: SERVICE_AUTO_START
  Binary Pathname: %Windows%\Prefetch\wuauser.exe --server

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://07.{BLOCKED}566.com/install/start
• http://07.{BLOCKED}566.com/install/{random values}
• http://07.{BLOCKED}566.com/mine.txt
• http://07.{BLOCKED}566.com/report?hasWanIP={value}&ver={version}&os={os}&arch={architecture}&cpufreq={value}&cpunum={number}&mem={value}

プロセスの終了

スパイウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• hdmanager.exe
• mmc.exe
• WHDMIDE

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://07.{BLOCKED}566.com/86.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Windows%\security\msiexev.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

スパイウェアは、実行後、自身を削除します。