![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
Coinminer.SH.MALXMR.ATNG
Linux
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: 仮想通貨発掘ツール(コインマイナー)
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。
トレンドマイクロは、2018年10月、コンテナ型仮想環境を提供するソフトウェア「Docker Engine Community 版」における設定の不備を悪用し、仮想通貨発掘マルウェアを拡散する攻撃を確認しました。感染 PC では Docker API が使用するポート「2375/TCP」および「2376/TCP」がインターネットに露出していました。
コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
コインマイナーは、以下のプロセスを追加します。
- xm.service
プロセスの終了
コインマイナーは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- xmrig
- proc
- xmr-stak
- minergate-cli
- bashd.service -> also disabled from starting automatically
ダウンロード活動
コインマイナーは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.165.97/k.php
- http://{BLOCKED}.{BLOCKED}.165.97/data.cfg
- http://{BLOCKED}.{BLOCKED}.165.97/xm -O /xm
- http://{BLOCKED}.{BLOCKED}.165.97/xm.service
- http://{BLOCKED}.{BLOCKED}.165.97/test.sh
- http://{BLOCKED}.{BLOCKED}.165.97/test3.sh
コインマイナーは、以下のファイル名でダウンロードしたファイルを保存します。
- {Malware Path}/data.cfg
- {Malware Path}/xm
- {Malware Path}/test.sh
- {Malware Path}/test3.sh
- /etc/systemd/system/xm.service
その他
ただし、情報公開日現在、このWebサイトにはアクセスできません。
コインマイナーは、以下を実行します。
- ユーザ「richard」および「frank」を作成し、ルート権限を付与
- パスワードによる認証を有効化して Secure Socket Shell(SSH)デーモンを再起動
- 活動を持続するために追加のスクリプトおよびファイルをダウンロードし、実行権限を設定
- 拡散のためのネットワークスキャン活動 感染 PC が属するネットワークに対して毎秒 50,000 パケットで 2375 番ポートおよび2376 番ポートをスキャン、結果を “local.txt” ファイルに保存
- 予備調査のためのスキャンで発見したホストにツール群を複製し、拡散
- 攻撃者が意図した Monero 発掘プロセスを確認し、実行されていない場合プロセスを起動
- パッケージマネージャを利用し、「systemd」、「masscan」、「iproute2」をインストール
対応方法
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Coinminer.SH.MALXMR.ATNG」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください