更新者 : Jay Bradley Nebre

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

トレンドマイクロでは、ビデオ会議アプリ「Zoom」の正規インストーラとマルウェアをバンドルし、Zoomを利用したいユーザをだまして不正にコインマイナーをインストールさせようとするサイバー犯罪者の活動を確認しました。この不正なZoomインストーラは、Zoomの公式ダウンロードサイトではなく、不正なWebサイトに存在していたと考えられます。不正サイトへ誘導された利用者は、正規のZoomインストーラではなく、プログラミング言語「AutoIt」でコンパイルされたマルウェアをダウンロードしてしまうことになります。

このマルウェアファイル内には正規のZoomインストーラと共に、仮想通貨発掘ツール(コインマイナー)が含まれています。これによりZoomをインストールしようとしたユーザは、意図せずコインマイナーをインストールされてしまい、不正な仮想通貨の発掘(マイニング)の被害に遭うことになります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 19,645,440 bytes
タイプ EXE
メモリ常駐 はい
発見日 2020年3月31日
ペイロード URLまたはIPアドレスに接続, 情報収集, システム情報の収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • %User Temp%\CL_Debug_Log.txt e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%User Temp%\CR_Debug_Log.txt" -o"%User Temp%\"
  • C:\Windows\system32\cmd.exe /c schtasks.exe /Create /XML "%User Temp%\SystemCheck.xml" /TN "System\SystemCheck"

(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\asacpiex.dll -> archive file containing Coinminer.Win64.MOOZ.THCCABO
  • %User Temp%\CL_Debug_Log.txt -> 7-zip Archiver
  • %User Temp%\ZoomInstaller.exe -> normal Zoom Installer
  • %User Temp%\CR_Debug_Log.txt -> archive file containing Coinminer.Win64.MOOZ.THCCABO
  • %Application Data%\Microsoft\Windows\Helper.exe -> detected as Coinminer.Win64.MOOZ.THCCABO
  • %User Temp%\SystemCheck.xml

(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Roaming" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

  • System Information
  • OS Version
  • Video Controller
  • Processors
  • AV product
  • Smartscreen
  • Windows Defender

その他

マルウェアは、以下を実行します。

  • It sends the gathered information to the following URL:
    • https://{BLOCKED}o.co/1IRnc

以下のスケジュールされたタスクを追加します:

  • Task Name: SystemCheck
    Trigger: Daily: At 12:00 AM every day - After triggered, repeat every 00:01:00 indefinitely.
    Action: %userprofile%\AppData\Roaming\Microsoft\Windows\Helper.exe -SystemCheck

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\asacpiex.dll → Coinminer.Win64.MOOZ.THCCABOを含むアーカイブファイル
  • %User Temp%\CL_Debug_Log.txt → 7-zipアーカイバ
  • %User Temp%\ZoomInstaller.exe → 正規Zoomインストーラ
  • %User Temp%\CR_Debug_Log.txt → Coinminer.Win64.MOOZ.THCCABOを含むアーカイブファイル
  • %Application Data%\Microsoft\Windows\Helper.exe → Coinminer.Win64.MOOZ.THCCABOとして検出

情報漏えい

マルウェアは、以下の情報を収集します。

  • システム情報
  • オペレーティングシステム(OS)のバージョン
  • ビデオコントローラ
  • プロセッサ
  • ウイルス対策製品
  • Smartscreen
  • Windows Defender

その他

マルウェアは、以下を実行します。

  • マルウェアは、収集した情報を以下のURLに送信します:
    • https://{BLOCKED}o.co/1IRnc

以下のスケジュールされたタスクを追加します:

  • タスク名: SystemCheck
  • トリガー: 一日毎: 毎日午前12:00 - トリガー後、 00:01:00毎に無期限にタスクを繰り返す
  • アクション: %userprofile%\AppData\Roaming\Microsoft\Windows\Helper.exe -SystemCheck

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.776.04
初回 VSAPI パターンリリース日 2020年3月31日
VSAPI OPR パターンバージョン 15.777.00
VSAPI OPR パターンリリース日 2020年4月1日

手順 1

Windows XP、Windows Vista 、Windows 7、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

追加されたスケジュールタスクの削除:

Windows 2000、XP および Server 2003 の場合:

  1. スケジュールタスクを開きます。
    [スタート]-[プログラム]-[アクセサリー]-[システムツール]-[タスク スケジューラ]をクリック
  2. ダブルクリックでJOBファイルを開きます。
  3. JOBファイルにマルウェアのパスおよびファイルが含まれているかを確認します。
  4. 上記欄に該当する名前が含まれていた場合、問題のJOBファイルを削除します。
  5. 残りのJOBファイルに対して、2.)から4.)の手順を繰り返します。

Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合:

  1. タスクスケジューラを開きます。
    • Windows Vista、7 および Server 2008 の場合:
      [スタート]をクリック。[検索]入力欄に"taskschd.msc"と入力し、Enterを押します。
    • Windows 8、8.1 および Server 2012 の場合:
      画面の左隅を右クリックし、[実行]を選択します。"taskschd.msc"と入力し、Enterを押します。
  2. タスクスケジューラ画面の左側のパネルで、[タスク スケジューラ ライブラリ]を選択します。
  3. 真ん中上部のパネルで、[タスク]をクリック。
  4. 真ん中下部のパネルの、[操作]タブをクリック。
  5. タスクにマルウェアのパスおよびファイル名が表示されているかを確認。確認された場合、[操作]タブ内の[詳細]欄の値を確認します。
  6. 値が確認される場合、タスクを選択。DELETEを押し、[はい]をクリックしてタスクを削除します。
  7. 残りのJOBファイルに対して、3.)から5.)の手順を繰り返します。

手順 4

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.MOOZ.THCCABO」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください