Coinminer.SH.MALXMR.ATNE
Linux
マルウェアタイプ:
仮想通货発掘ツール（コインマイナー）
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
トレンドマイクロは、2018年10月、コンテナ型仮想環境を提供するソフトウェア「Docker Engine Community 版」における設定の不備を悪用し、仮想通貨発掘マルウェアを拡散する攻撃を確認しました。感染 PC では Docker API が使用するポート「2375/TCP」および「2376/TCP」がインターネットに露出していました。
このマルウェアは、上记の攻撃で拡散されるコインマイナーです。
コインマイナーは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
ただし、情报公开日现在、この奥别产サイトにはアクセスできません。
詳細
侵入方法
コインマイナーは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
コインマイナーは、以下のプロセスを追加します。
- xm.service
プロセスの终了
コインマイナーは、感染コンピュータ上で以下のプロセスが常驻されていることを确认した场合、そのプロセスを终了します。
- xmrig
- proc
- xmr-stak
- minergate-cli
- bashd.service -> also disabled from starting automatically
ダウンロード活动
コインマイナーは、以下の奥别产サイトにアクセスし、ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.219.163/k.php
- http://{BLOCKED}.{BLOCKED}.219.163/data.cfg
- http://{BLOCKED}.{BLOCKED}.219.163/xm
- http://{BLOCKED}.{BLOCKED}.219.163/xm.service
- http://{BLOCKED}.{BLOCKED}.219.163/test.sh
- http://{BLOCKED}.{BLOCKED}.219.163/test3.sh
コインマイナーは、以下のファイル名でダウンロードしたファイルを保存します。
- {Malware Path}/data.cfg
- {Malware Path}/xm
- {Malware Path}/test.sh
- {Malware Path}/test3.sh
- /etc/systemd/system/xm.service
その他
ただし、情报公开日现在、この奥别产サイトにはアクセスできません。
コインマイナーは、以下を実行します。
- ユーザ「谤颈肠丑补谤诲」および「蹿谤补苍办」を作成し、ルート権限を付与
- パスワードによる認証を有効化して Secure Socket Shell（SSH）デーモンを再起動
- 活动を持続するために追加のスクリプトおよびファイルをダウンロードし、実行権限を设定
- 拡散のためのネットワークスキャン活動 感染 PC が属するネットワークに対して毎秒 50,000 パケットで 2375 番ポートおよび2376 番ポートをスキャン、結果を “local.txt” ファイルに保存
- 予备调査のためのスキャンで発见したホストにツール群を复製し、拡散
- 攻撃者が意図した Monero 発掘プロセスを確認し、実行されていない場合プロセスを起動
- パッケージマネージャを利用し、「蝉测蝉迟别尘诲」、「尘补蝉蝉肠补苍」、「颈辫谤辞耻迟别2」をインストール
対応方法
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Coinminer.SH.MALXMR.ATNE」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。