Coinminer.Unix.MALXMR.AA

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

コインマイナーは、以下のファイルを削除します。

• /boot/grub/deamon
• /boot/grub/disk_genius
• /tmp/*index_bak*
• /tmp/*httpd.conf*
• /tmp/*httpd.conf
• /tmp/a7b104c270
• /tmp/ddg
• /tmp/wnTKYg
• /tmp/conn
• /tmp/conns
• /tmp/irq.sh
• /tmp/irqbalanc1
• /tmp/irq

プロセスの終了

コインマイナーは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Sourplum
• wnTKYg
• AnXqV.yam
• biosetjenkins
• Loopback
• apaceha
• cryptonight
• stratum
• mixnerdx
• performedl
• JnKihGjn
• irqba2anc1
• irqba5xnc1
• irqbnc1
• ir29xc1
• conns
• irqbalance
• crypto-pool
• minexmr
• XJnRj
• NXLAi
• BI5zj
• askdljlqw
• minerd
• minergate
• Guard.sh
• ysaydh
• bonns
• donns
• kxjd
• Duck.sh
• bonn.sh
• conn.sh
• kworker34
• kw.sh
• pro.sh
• polkitd
• acpid
• icb5o
• nopxi
• irqbalanc1
• minerd
• i586
• gddr
• mstxmr
• ddg.2011
• wnTKYg
• deamon
• disk_genius

ダウンロード活動

コインマイナーは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}4pq6kufc4m.tk/bashg
• http://{BLOCKED}4pq6kufc4m.tk/bashf

コインマイナーは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}4pq6kufc4m.tk/lowerv2.sh
• http://{BLOCKED}4pq6kufc4m.tk/r88.sh
• http://{BLOCKED}4pq6kufc4m.tk/rootv2.sh
• http://{BLOCKED}4pq6kufc4m.tk/config.json
• http://{BLOCKED}4pq6kufc4m.tk/pools.txt
• http://{BLOCKED}4pq6kufc4m.tk/xapache

その他

コインマイナーは以下を実行します。

• コインマイナーは、ダウンロードしたファイルを以下のディレクトリに保存し、定期的に実行します。このファイルには、前回ダウンロードしたコンポーネントファイルのコピーをダウンロードするためのコマンドが含まれています。
  • /var/spool/cron/root/r88.sh
• ダウンロードした他のファイルを以下のディレクトリに保存します。
  • /tmp/
• マイニング活動には、以下の詳細が使用されます。
  • URL: pool.supp{BLOCKED}mr.com:80
  • Wallet Address: {BLOCKED}xurp9LbZdmXkTQxK9DhpzRBphLY4bRr8KAhJgUJxT7s1BKzf5DzRNaUyCcwPWZ3cFz2o1Q7y679DSRGVbdFy1xE5xPF
  • Password Pool: bashg
  • Pool Weight: 1
• 実行時に自身が"root"ディレクトリ下にあるかどうかをチェックします。