TROJ_DIGMINEIN.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

Facebook Messenger を利用して拡散する仮想通貨発掘マルウェア「DIGMINE（ディグマイン）」が韓国で初めて確認されました。このマルウェアは、動画ファイルを装って侵入しますが、実際は実行可能スクリプト「AutoIt」です。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• Downloaded through Facebook Messenger.

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\{User name}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{User name}\cherry.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Google Updater = %Application Data%\{User name}\cherry.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Codec
Installed = Yes

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://ofulo.{BLOCKED}v.bid/api/cherry/7za.exe
• http://ofulo.{BLOCKED}v.bid/api/cherry/files.7z

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{User name}\files.7z ←Password protected file containing malicious files.
• %Application Data%\{User name}\7za.exe ← Legitimate 7-Zip file.

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://ofulo.{BLOCKED}v.bid

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、Facebook Messengerを介してコンピュータに侵入します。

マルウェアが以下のファイル名でダウンロードし保存するファイルには、不正なファイルが含まれており、パスワードで保護されています。

• %Application Data%\{User name}\files.7z

マルウェアが以下のファイル名でダウンロードし保存するファイルは、正規の圧縮ファイル（7 Zip）です。

• %Application Data%\{User name}\7za.exe

マルウェアは、以下のコマンドを実行します。

• "%Program Files%\Google\Chrome\Application\chrome.exe" --enable-automation --disable-infobars --load-extension=%Application Data%\{User name}