解析者: Michael Jhon Ofiaza   

 プラットフォーム:

Linux

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    仮想通貨発掘ツール(コインマイナー)

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

トレンドマイクロは、2018年10月、コンテナ型仮想環境を提供するソフトウェア「Docker Engine Community 版」における設定の不備を悪用し、仮想通貨発掘マルウェアを拡散する攻撃を確認しました。感染 PC では Docker API が使用するポート「2375/TCP」および「2376/TCP」がインターネットに露出していました。

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

  詳細

ファイルサイズ 2,640 bytes
タイプ Other
メモリ常駐 なし
発見日 2018年10月9日
ペイロード URLまたはIPアドレスに接続, プロセスの強制終了

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

コインマイナーは、以下のプロセスを追加します。

  • xm.service

プロセスの終了

コインマイナーは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • xmrig
  • proc
  • xmr-stak
  • minergate-cli
  • bashd.service -> also disabled from starting automatically

ダウンロード活動

コインマイナーは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

  • http://{BLOCKED}.{BLOCKED}.165.97/k.php
  • http://{BLOCKED}.{BLOCKED}.165.97/data.cfg
  • http://{BLOCKED}.{BLOCKED}.165.97/xm -O /xm
  • http://{BLOCKED}.{BLOCKED}.165.97/xm.service
  • http://{BLOCKED}.{BLOCKED}.165.97/test.sh
  • http://{BLOCKED}.{BLOCKED}.165.97/test3.sh

コインマイナーは、以下のファイル名でダウンロードしたファイルを保存します。

  • {Malware Path}/data.cfg
  • {Malware Path}/xm
  • {Malware Path}/test.sh
  • {Malware Path}/test3.sh
  • /etc/systemd/system/xm.service

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

コインマイナーは、以下を実行します。

  • ユーザ「richard」および「frank」を作成し、ルート権限を付与
  • パスワードによる認証を有効化して Secure Socket Shell(SSH)デーモンを再起動
  • 活動を持続するために追加のスクリプトおよびファイルをダウンロードし、実行権限を設定
  • 拡散のためのネットワークスキャン活動 感染 PC が属するネットワークに対して毎秒 50,000 パケットで 2375 番ポートおよび2376 番ポートをスキャン、結果を “local.txt” ファイルに保存
  • 予備調査のためのスキャンで発見したホストにツール群を複製し、拡散
  • 攻撃者が意図した Monero 発掘プロセスを確認し、実行されていない場合プロセスを起動
  • パッケージマネージャを利用し、「systemd」、「masscan」、「iproute2」をインストール

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 14.566.05
初回 VSAPI パターンリリース日 2018年10月15日
VSAPI OPR パターンバージョン 14.567.00
VSAPI OPR パターンリリース日 2018年10月16日

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Coinminer.SH.MALXMR.ATNG」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください