Coinminer.MSIL.MALXMR.TIAOODBK

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のフォルダを追加します。

• %Application Data%\Microsoft\Libs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

コインマイナーは、以下のファイルを作成します。

• %Application Data%\Microsoft\Libs\sihost64.exe
• %Application Data%\Microsoft\Libs\WR64.sys
• %User Temp%\Services.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

コインマイナーは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c schtasks /create /f /sc onlogon /rl highest /tn "Services" /tr '"%User Temp%\Services.exe"' & exit
• %Application Data%\Microsoft\Libs\sihost64.exe
• %User Temp%\Services.exe
• schtasks /create /f /sc onlogon /rl highest /tn "Services" /tr '"%User Temp%\Services.exe"'
• %Windows%\explorer.exe --cinit-find-x -B --algo=rx/0 --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=pool.{BLOCKED}r.com:4444 --user=47Q27tHEUN7YoC7aLurZbf49RPNFpwUB9bpWUG72jEeSLPtbLwfzD9zRiMsMskozr3KnxfnsJzvvfCeLd8w46JSNTGqLVjs --pass= --cpu-max-threads-hint=50 --donate-level=5 --cinit-idle-wait=1 --cinit-idle-cpu=80 --cinit-stealth

その他

以下のスケジュールされたタスクを追加します：

• Task Name: Services
  Trigger: At user log on
  Task to be run: %User Temp%\Services.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)