Coinminer.Win64.MALXMR.L

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 コインマイナーは、他のマルウェアに作成され、コンピュータに侵入します。

コインマイナーは、ワーム活動の機能を備えていません。

コインマイナーは、バックドア活動の機能を備えていません。

コインマイナーは、特定のWebサイトにアクセスし、情報を送受信します。 概要:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。

侵入方法

コインマイナーは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

コインマイナーは、以下のマルウェアに作成され、コンピュータに侵入します。

• Coinminer.Win64.MALXMR.K

感染活動

コインマイナーは、ワーム活動の機能を備えていません。

バックドア活動

コインマイナーは、バックドア活動の機能を備えていません。

ルートキット機能

コインマイナーは、ルートキット機能を備えていません。

情報漏えい

コインマイナーは、以下の情報を収集します。

• Public IP Address
• CPU vendor, features, model, and specifications
• Number of CPU cores/threads
• L1/L2/L3 cache sizes
• NUMA topology
• Available RAM
• GPU specifications (if OpenCL/CUDA enabled)
• DMI/SMBIOS system information
• Kernel/OS version
• User active/inactive status

その他

コインマイナーは、以下のWebサイトにアクセスし、情報を送受信します。

• stratum+ssl://{BLOCKED}x.xmrig.com:443
• donate.ssl.{BLOCKED}g.com
• donate.v2.{BLOCKED}g.com
• https://api.{BLOCKED}g.com
• https://{BLOCKED}g.com/benchmark/%s
• https://{BLOCKED}g.com/wizard
• https://{BLOCKED}g.com/docs/algorithms

コインマイナーは、以下を実行します。

• It references the following configuration files:
  • %Program Files%\Hola\app\config.json
  • %User Profile%\.xmrig.json
  • %User Profile%\.config\xmrig.json
• When run via the command-line, it accepts the following parameters:
  • -o, --url=URL → URL of mining pool
  • -a, --algo=ALGO → Mining algorithm (e.g., rx/0, cn/r, argon2)
  • -u, --user=USERNAME → Username/wallet address for mining pool
  • -p, --pass=PASSWORD → Password for mining pool
  • -O, --userpass=U:P → Username:password pair
  • -x, --proxy=HOST:PORT → Connect through SOCKS5 proxy
  • -k, --keepalive → Send keepalive packets to prevent timeout
  • --coin=COIN → Specify cryptocurrency to mine
  • --rig-id=ID → Rig identifier for pool
  • --tls → Enable TLS/SSL for pool connection
  • --tls-fingerprint=HEX → Pool TLS certificate fingerprint
  • --dns-ttl=N → DNS cache TTL in seconds
  • --dns-ipv6 → Prefer IPv6 for DNS
  • -r, --retries=N → Retry count before switch to backup server
  • -R, --retry-pause=N → Pause between retries in seconds
  • --nicehash → Enable NiceHash compatibility mode
  • --daemon → Use daemon RPC instead of pool
  • --daemon-poll-interval=N → Daemon poll interval in milliseconds
  • --self-select=URL → Self-select block templates URL
  • --submit-to-origin → Submit shares to both pool and daemon
  • -t, --threads=N → Number of CPU mining threads
  • --cpu-affinity=N → Set CPU affinity bitmask
  • --cpu-priority=N → Process priority (0=idle, 5=highest)
  • --cpu-max-threads-hint=N → Max CPU threads percentage (0-100)
  • --cpu-memory-pool=N → Persistent memory pool size in KB
  • --cpu-no-yield → Prefer maximum hashrate over system response
  • --no-huge-pages → Disable huge pages support
  • --huge-pages-jit → Enable huge pages for JIT code
  • --asm=ASM → ASM optimization (auto/none/intel/ryzen/bulldozer)
  • --av=N → Algorithm variation (0-auto)
  • --no-cpu → Disable CPU backend entirely
  • --randomx-init=N → Number of threads for dataset init
  • --randomx-no-numa → Disable NUMA support for RandomX
  • --randomx-mode=MODE → RandomX mode (auto/fast/light)
  • --randomx-1gb-pages → Use 1GB huge pages for RandomX dataset
  • --randomx-wrmsr=N → MSR mod for Ryzen (0-15, -1 to disable)
  • --randomx-no-rdmsr → Disable MSR reads
  • --randomx-cache-qos → Enable cache QoS
  • --opencl → Enable OpenCL GPU mining
  • --opencl-devices=N → Comma-separated list of GPU devices
  • --opencl-platform=N → OpenCL platform index
  • --opencl-loader=PATH → Path to OpenCL library
  • --opencl-no-cache → Disable OpenCL kernel cache
  • --cuda → Enable CUDA GPU mining
  • --cuda-loader=PATH → Path to CUDA plugin (xmrig-cuda.dll)
  • --cuda-devices=N → Comma-separated list of CUDA devices
  • --cuda-bfactor-hint=N → Bfactor hint for CUDA
  • --cuda-bsleep-hint=N → Bsleep hint for CUDA
  • --no-nvml → Disable NVML GPU stats
  • --api-worker-id=ID → Worker ID for API
  • --api-id=ID → Instance ID for API
  • --http-enabled → Enable HTTP API
  • --http-host=HOST → HTTP API bind host
  • --http-port=N → HTTP API port
  • --http-access-token=TOKEN → HTTP API access token
  • --http-no-restricted → Enable full remote access to HTTP API
  • -l, --log-file=FILE → Log output to file
  • -S, --syslog → Use syslog for output
  • --print-time=N → Print hashrate every N seconds
  • --no-color → Disable colored output
  • --verbose → Verbose/debug output
  • -c, --config=FILE → Load config from JSON file
  • -B, --background → Run in background (daemon mode)
  • -V, --version → Print version and exit
  • -h, --help → Print help and exit
  • --dry-run → Test configuration without mining
  • --bench=N → Run benchmark for N hashes
  • --stress → Run stress test
  • --donate-level=N → Donation level percentage (0-100)
  • --donate-over-proxy=N → Control donation routing through proxy
  • --pause-on-battery → Pause mining on battery power
  • --pause-on-active=N → Pause mining when user active for N seconds
  • --no-watch → Disable config file watching
• When run via the command-line, it shows the following GUI:
  
• Attempts to modify the following system settings:
  • Enables large/huge pages for memory optimization
  • May write to MSR (Model-Specific Registers) via WinRing0 driver
  • Sets process/thread priority for mining optimization
• Supports optional WinRing0 kernel driver for MSR-based CPU optimization to improve mining performance

マルウェアは、脆弱性を利用した感染活動を行いません。

詳細:プログラムは、コンピュータのCPUおよびGPUのリソースを利用して仮想通貨を発掘します。その結果、感染コンピュータの動作が非常に遅くなります。

<補足>
侵入方法

コインマイナーは、以下のマルウェアに作成され、コンピュータに侵入します。

• Coinminer.Win64.MALXMR.K

情報漏えい

コインマイナーは、以下の情報を収集します。

• パブリックIPアドレス
• CPU製造元、機能、モデル、仕様
• CPUのコア/スレッド数
• L1/L2/L3キャッシュのサイズ
• NUMAトポロジー
• 利用可能なRAM容量
• GPUの仕様（OpenCL/CUDAが有効な場合）
• DMI/SMBIOSに関わるシステム情報
• カーネル/オペレーティングシステム（OS）のバージョン
• ユーザ状態（アクティブ/非アクティブ）

その他

コインマイナーは、以下を実行します。

• 以下の設定ファイルを参照します。
  • %Program Files%\Hola\app\config.json
  • %User Profile%\.xmrig.json
  • %User Profile%\.config\xmrig.json
• コマンドライン経由で実行された場合、以下のパラメータを受け取ります。
  • -o, --url=URL → マイニングプールのURL
  • -a, --algo=ALGO → マイニングアルゴリズム（例：rx/0, cn/r, argon2）
  • -u, --user=USERNAME → マイニングプール用のユーザ名/ウォレットアドレス
  • -p, --pass=PASSWORD → マイニングプール用のパスワード
  • -O, --userpass=U:P → ユーザ名とパスワードの組み合わせ
  • -x, --proxy=HOST:PORT → SOCKS5プロキシ経由での接続
  • -k, --keepalive → タイムアウトを防ぐためにkeepaliveパケットを送信する
  • --coin=COIN → マイニングする暗号資産を指定する
  • --rig-id=ID → マイニングプール用のリグ識別子
  • --tls → マイニングプールに接続するためにTLS/SSLサポートを有効にする
  • --tls-fingerprint=HEX → TLS証明書のフィンガープリントをプールする
  • --dns-ttl=N → DNSキャッシュの有効時間（秒単位）
  • --dns-ipv6 → DNSに対してIPv6を優先して用いる
  • -r, --retries=N → バックアップサーバに切り替える前に再試行する回数
  • -R, --retry-pause=N → 再試行間の停止時間（秒単位）
  • --nicehash → NiceHashで互換モードを有効にする
  • --daemon → プールの代わりにdaemon RPCを用いる
  • --daemon-poll-interval=N → Daemonのポーリング間隔（ミリ秒単位）
  • --self-select=URL → URLから指定されたブロックテンプレートを取得する
  • --submit-to-origin → プールとdaemonの両方に共有を送信する
  • -t, --threads=N → CPUマイニングスレッドの数
  • --cpu-affinity=N → ビットマスクでCPUのコア割り当て（アフィニティ）を設定する
  • --cpu-priority=N → プロセス優先度（0=アイドル、5=最高）
  • --cpu-max-threads-hint=N → 最大CPUスレッドの比率（0-100）
  • --cpu-memory-pool=N → 不正活動の永続化に用いるメモリプールのサイズ（KB単位）
  • --cpu-no-yield → システムの応答よりも最大ハッシュレートを優先する
  • --no-huge-pages → huge page機能を無効にする
  • --huge-pages-jit → JITコードに対するhuge page機能を有効にする
  • --asm=ASM → ASMを最適化する（auto/none/intel/ryzen/bulldozer）
  • --av=N → アルゴリズムのバリエーション（0-auto）
  • --no-cpu → CPUバックエンドを完全に無効にする
  • --randomx-init=N → データセットの初期化時に用いるスレッド数
  • --randomx-no-numa → RandomXに対するNUMAサポートを無効にする
  • --randomx-mode=MODE → RandomXモード（auto/fast/light）
  • --randomx-1gb-pages → RandomXデータセットに対して1GBのhuge pageを用いる
  • --randomx-wrmsr=N → RyzenにおけるMSR（モデル固有レジスタ）の数値を変更する（0-15、無効化（-1））
  • --randomx-no-rdmsr → MSRスレッドを無効にする
  • --randomx-cache-qos → キャッシュメモリに対する優先順位付け（QoS）を有効にする
  • --opencl → OpenCL GPUマイニングを有効にする
  • --opencl-devices=N → GPU対応デバイスを一覧表示する（コンマで区切られている）
  • --opencl-platform=N → OpenCLプラットフォーム番号
  • --opencl-loader=PATH → OpenCLライブラリへのパス
  • --opencl-no-cache → OpenCLのカーネル（キャッシュ）を無効にする
  • --cuda → CUDA GPUマイニングを有効にする
  • --cuda-loader=PATH → CUDAプラグイン（xmrig-cuda.dll）へのパス
  • --cuda-devices=N → CUDA対応デバイスを一覧表示する（コンマで区切られている）
  • --cuda-bfactor-hint=N → CUDAにおけるBfactor hintの数値を設定する
  • --cuda-bsleep-hint=N → CUDAにおけるBsleep hintの数値を設定する
  • --no-nvml → NVML（NVIDIA Management Library）を用いたGPU統計情報の取得を無効にする
  • --api-worker-id=ID → APIに用いるWorker ID
  • --api-id=ID → APIのインスタンスID
  • --http-enabled → HTTP APIを有効にする
  • --http-host=HOST → HTTP APIに対してバインドされるホスト
  • --http-port=N → HTTP APIに対するポート
  • --http-access-token=TOKEN → HTTP APIに対するアクセストークン
  • --http-no-restricted → HTTP APIへのフルリモートアクセスを有効にする
  • -l, --log-file=FILE → ファイルにログを出力する
  • -S, --syslog → 出力にシステムログを用いる
  • --print-time=N → N秒ごとにハッシュレートを表示する
  • --no-color → 色付き出力を無効にする
  • --verbose → 詳細/デバッグに関する出力
  • -c, --config=FILE → JSONファイルから構成情報を読み込む
  • -B, --background → バックグラウンドで実行する（daemonモード）
  • -V, --version → バージョンを表示して自身の不正活動を終了する
  • -h, --help → ヘルプ情報を表示して自身の不正活動を終了する
  • --dry-run → マイニング活動なしで構成情報を確認する
  • --bench=N → N個のハッシュに対するベンチマークを実行する
  • --stress → ストレステストを実行する
  • --donate-level=N → 寄付レベルの比率（0-100）
  • --donate-over-proxy=N → プロキシ経由で寄付に関わる動作を制御する
  • --pause-on-battery → バッテリー駆動時にマイニング活動を一時停止する
  • --pause-on-active=N → ユーザがN秒間アクティブとなった場合にマイニング活動を一時停止させる
  • --no-watch → 構成ファイルの確認を無効にする
• コマンドラインから実行された場合、この不正プログラムは、以下のGUI（グラフィカルユーザインターフェイス）を表示します。
  
• 下記システム設定の変更を試みます。
  • メモリ最適化のためにlarge page/huge pageを有効にする
  • WinRing0ドライバを介してMSR（Model-Specific Registers）に書き込む可能性があります。
  • マイニング活動を最適化させるためにプロセス/スレッド優先度を設定する
• オプションのカーネルドライバ（WinRing0）に対応し、MSRをベースにCPUを最適化させてマイニング活動の実効性を向上させます。