ロシアの仮想通貨マイニングマルウェア WebCobraを発見

脅威情報
2018.11.15

被害者のコンピューターで仮想通貨のマイニングを行うWebCobra

McAfee Labsは被害者のコンピューターを利用して仮想通貨のマイニングを行うWebCobraという新たなロシア製のマルウェアを発見しました。

仮想通貨のマイニングを行うマルウェアはなかなか検知されません。コンピューターを乗っ取るとアプリケーションはバックグラウンドで静かに走り、パフォーマンスが落ちる程度の兆候しか見られません。しかしマルウェアは電力消費を増大させるため、PCの動作が遅くなり、持ち主はイライラさせられるだけでなく、法外な電気料金を請求されることになります。最近のレポートによるとマイニングに要する電力は１ビットコインあたり $531 から$26,170 にものぼると言われています。

仮想通貨の価値の上昇を受け、サイバー犯罪者はマルウェアを使って被害者のコンピューターを仮想通貨のマイニングに利用することを思いつきました。

以下の図はマイニングマルウェアが、いかに仮想通貨モネロの価格の変化に従って増えているかを示すものです。

図1：仮想通貨モネロの価格は2018年初頭にピークに。仮想通貨マイニング・マルウェアの総数は増え続けている　出典：https://coinmarketcap.com/currencies/monero/

McAfee Labsはファイルに感染するコインマイナーについて、以前にも分析を行っています。またCyber Threat Allianceでは、当社の全面的な支援の下、「不法な仮想通貨マイニングの脅威 The Illicit Cryptocurrency Mining Threat」と題するレポートを発表しています。そして最近、ひっそりと忍び込みアーキテクチャに応じてCryptonight または Claymore’s Zcashをインストールするロシア製のアプリケーションWebCobraについて調査を行いました。マカフィーの製品はこれらの脅威を検知し、また脅威から護ります。

この脅威は悪質なPUPを通じてインストールされると我々は考えています。世界各地で見られますが、特にブラジル、南アフリカおよび米国で最も多く検出されています。

図2：McAfee Labs のWebCobra 感染度マップ９月9–13日現在

この仮想通貨マイニング・マルウェアは感染する機器の構成に応じて異なったマイナーを投下する点が特徴的です。この点については後述します。

1 WebCobraのふるまい
2 フックを解除されたntdll.dll APIの一覧
3 フックを解除されたユーザー32.dll APIの一覧
4 x86 システムの感染
5 x64システムの感染

WebCobraのふるまい

メインのドロッパーは、実行環境をチェックするMicrosoftインストーラーです。 x86システムでは、Cryptonightのマイナーコードが実行中のプロセスに注入され、プロセスモニターが起動されます。 x64システムでは、GPUの設定をチェックし、リモートサーバーからClaymoreのZcashマイナーをダウンロードして実行します。

起動後、以下のコマンドを使用して、パスワードで保護されたキャビネットアーカイブファイルを投下して解凍します。

図4：投下されたファイルを解凍するコマンド

CAB ファイルには２つのファイルが含まれます
・LOC: data.binを解読するためのDLLファイル
・bin: 暗号化された悪質なペイロード

CAB ファイルはERDNT.LOCを実行するため、以下のスクリプトを使用します

ERDNT.LOC はdata.binを復号し、以下のルーチンで実行フローを渡します。

・[PlainText_Byte] = (([EncryptedData_Byte] + 0x2E) ^ 0x2E) + 0x2E

プログラムは実行環境をチェックし、次の図に示すように適切なマイナーを起動します。

data.binが解読されて実行されると、アンチデバッグ、アンチエミュレーション、およびアンチサンドボックス技術などを試み、またシステム上で実行されている他のセキュリティ製品を確認しようとします。この手順が踏まれるため、マルウェアが長期間検出されないままになります。

ほとんどのセキュリティ製品は、マルウェアの動作を監視するためにいくつかのAPIをフックしています。この方法で検知されることを避けるため、WebCobraはメモリ内のデータファイルとしてntdll.dllとuser32.dllをロードし、これらの関数の最初の8バイトを上書きし、APIのフックを解除します。

フックを解除されたntdll.dll APIの一覧

LdrLoadDll
ZwWriteVirtualMemory
ZwResumeThread
ZwQueryInformationProcess
ZwOpenSemaphore
ZwOpenMutant
ZwOpenEvent
ZwMapViewOfSection
ZwCreateUserProcess
ZwCreateSemaphore
ZwCreateMutant
ZwCreateEvent
RtlQueryEnvironmentVariable
RtlDecompressBuffer

フックを解除されたユーザー32.dll APIの一覧

SetWindowsHookExW
SetWindowsHookExA

x86 システムの感染

このマルウェアは、svchost.exeに悪質なコードを挿入し、無限ループを使用して開いているすべてのウィンドウをチェックし、各ウィンドウのタイトルバーのテキストをこれらの文字列と比較します。これはマルウェア分析用に設計された隔離された環境で動作しているかどうかを判断するためにWebCobraが行う別のチェックです。

adw
emsi
avz
farbar
glax
delfix
rogue
exe
asw_av_popup_wndclass
snxhk_border_mywnd
AvastCefWindow
AlertWindow
UnHackMe
eset
hacker
AnVir
Rogue
uVS
malware

前の文字列のいずれかがウィンドウタイトルバーのテキストに表示されると、開いているウィンドウは終了します。

図8：ウィンドウタイトルバーのテキストに特定の文字列が含まれている場合は、プロセスを終了

プロセスモニターが実行されると、マイナーの構成ファイルを引数として指定したsvchost.exeのインスタンスが作成され、Cryptonightマイナーコードが注入されます。

図9：svchost.exeのインスタンスを作成し、Cryptonightマイナーを実行

最後に、Cryptonightマイナーがサイレントモードで実行され、ほとんどすべてのCPUリソースを消費するプロセスが再び始まります。

x64システムの感染

Wiresharkが稼働していると確認された場合、マルウェアは感染を終了させます。

図11：Wiresharkを確認

マルウェアは、GPUのブランドとモードをチェックします。次のいずれかのGPUがインストールされている場合にのみ実行されます。

Radeon
Nvidia
Asus

これらのチェックが成功すると、マルウェアは隠し属性を持つ以下のフォルダを作成し、リモートサーバーからClaymoreのZcashマイナーをダウンロードして実行します。

C:\Users\AppData\Local\WIX Toolset 11.2

最後にマルウェアはバッチファイルを %temp%\–xxxxx.cMD に投下し、 [WindowsFolder]\{DE03ECBA-2A77-438C-8243-0AF592BDBB20}\*.*. からメインドロッパーを削除します。

マイナーの構成ファイルは以下の通りです。

この構成ファイルには以下のものが含まれます：

The mining pool: 5.149.254.170
Username: 49YfyE1xWHG1vywX2xTV8XZzbzB1E2QHEF9GtzPhSPRdK5TEkxXGRxVdAq8LwbA2Pz7jNQ9gYBxeFPHcqiiqaGJM2QyW64C
Password: soft-net

この構成ファイルには以下のものが含まれます:

The mining pool: eu.zec.slushpool.com
Username: pavelcom.nln
Password: zzz

仮想通貨マイニング・マルウェアは、サイバー犯罪者がこの比較的容易な方法を利用する限り進化し続けるでしょう。他者のシステム上で仮想通貨のマイニングを行うのは、ランサムウェアよりも投資とリスクが少なく、犠牲者が送金に同意する割合も関係ありません。ユーザーが犯罪者のマイニングをサポートしていると気付くまで、彼らは多くの利益を得るのです。

MITRE ATT&CK techniques

Exfiltration over command and control channel
Command-line interface
Hooking
Data from local system
File and directory discovery
Query registry
System information discovery
Process discovery
System time discovery
Process injection
Data encrypted
Data obfuscation
Multilayer encryption
File deletion

Indicators of compromise

IP addresses

149.249.13:2224
149.254.170:2223
31.92.212

Domains

fee.xmrig.com
fee.xmrig.com
ru
zec.slushpool.com

McAfee detections

CoinMiner Version 2 in DAT Version 8986; Version 3 in DAT Version 3437
l Version 2 in DAT Version 9001; Version 3 in DAT Version 3452
RDN/Generic PUP.x Version 2 in DAT Version 8996; Version 3 in DAT Version 3447
Trojan-FQBZ, Trojan-FQCB, Trojan-FQCR Versions 2 in DAT Version 9011; Versions 3 in DAT Version 3462

Hashes (SHA-256)