Posted By ATCP , 2024년 02월 02일

Autoit を使用した Zephyr コインマイナーマルウェアの配布

AhnLab SEcurity intelligence Center(ASEC)は、最近 Zephyr コインマイナーが配布されていることを確認した。このファイルは、Autoit で製作されており、コインマイナーが含まれた圧縮ファイルの形式で配布されている。ファイルは、「WINDOWS_PY_M3U_EXPLOIT_2024.7z」の名前で配布されており、圧縮ファイルを解凍すると様々なスクリプトと実行ファイルが作成される。その中で「ComboIptvExploit.exe」ファイルは、NSIS(Nullsoft Scriptable Install System)インストーラーであり、内部には2つの JavaScript ファイルが存在する。

このファイルを実行すると、%temp% パスに「Explorer.js」、「internet.js」ファイルを作成し、2つの JavaScript ファイルは wscript.exe を通して実行される。

2つの JavaScript ファイルの内「internet.js」ファイルは、内部に BASE64 でエンコードされた文字列をデコードし、実行ファイルを作成する。この実行ファイルは %temp% パスに「x.exe」の名前で作成され、Autoit で作成されたプログラムである。コンパイルされた Autoit スクリプトファイルには、圧縮ファイルの「asacpiex.dll」と正常な「7za.exe」である「CL_Debug_Log.txt」、2つのファイルが含まれている。「JDQJndnqwdnqw2139dn21n3b312idDQDB」をパスワードで送信した後、解凍すると、コンパイルされた Autoit スクリプトファイルの「64.exe」、「32.exe」、2つのファイルを %temp% パスに作成する。システムの CPU アーキテクチャが x86 の場合は「32.exe」を、x64 の場合には「x64」を「%USER%\AppData\Roaming\Microsoft\Windows\Helper.exe」にコピーする。

CL_Debug_Log.txt e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" &"&@TEMPDIR&\CR_Debug_Log.txt&"& -o&"&@TEMPDIR&\

コピーされた Helper.exe は、Zephyr 仮想通過を採掘するコインマイナーであり、抽出したスクリプトで使用されたマイニングプールとウォレットアドレスをすべて確認することができる。マイニングプールに接続して該当のウォレットを照会すると、最近出金した履歴を確認することができた。

 GLOBAL $CRYPT= -a rx/0
 GLOBAL $STRAT_=ssl
 GLOBAL $POOL=zeph.kryptex.network:8888
 GLOBAL $WALLET=ZEPHsAgR4UTMCufABEmp7CDehfzontt85VKaQogms5zVc9iwV896o9ZR2XcbuCzwaSGYDmMUTjPJUVoLUE9a5feJKRgjtsvAndw/IPTV