Analisado por: Nikko Tamana   

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Backdoor

  • Destrutivo:
    Não

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Visão geral

Öffnet zufällig ausgewählte Ports. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

  Detalhes técnicos

Tipo de compactação: 4911366 bytes
Tipo de arquivo: EXE
Residente na memória: Sim
Data de recebimento das amostras iniciais: 21 dezembro 2017

Installation

Schleust die folgenden Dateien ein:

  • %User Temp%\_MEI2802\Crypto.Cipher._AES.pyd
  • %User Temp%\_MEI2802\MSVCR100.dll
  • %User Temp%\_MEI2802\_bz2.pyd
  • %User Temp%\_MEI2802\_ctypes.pyd
  • %User Temp%\_MEI2802\_hashlib.pyd
  • %User Temp%\_MEI2802\_lzma.pyd
  • %User Temp%\_MEI2802\_socket.pyd
  • %User Temp%\_MEI2802\_ssl.pyd
  • %User Temp%\_MEI2802\df_newc2_stageless.exe.manifest
  • %User Temp%\_MEI2802\pyexpat.pyd
  • %User Temp%\_MEI2802\python34.dll
  • %User Temp%\_MEI2802\select.pyd
  • %User Temp%\_MEI2802\unicodedata.pyd
  • %User Temp%\_MEI2802\Include\pyconfig.h
  • %User Temp%\_MEI2802\base_library.zip

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %User Temp%\_MEI2802
  • %User Temp%\_MEI2802\Include

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Backdoor-Routine

Öffnet zufällig ausgewählte Ports, damit sich ein externer Benutzer mit dem betroffenen System verbinden kann. Nach dem Herstellen der Verbindung führt der externe Benutzer Befehle auf dem betroffenen System aus.

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

  • Set sleep time
  • Execute shell command
  • Execute PowerShell command using Powershell
  • Execute PowerShell cmdlets without powershell.exe
  • Execute PowerShell command by injecting to a specific process
  • Execute command from a specific directory
  • Spawn session for listener
  • Spawn specific architecture and full path to a program to spawn
  • Inject a session into a specific process
  • Inject a 64-bit version of malware to a 64-bit process
  • Inject Reflective DLL into a process
  • Inject a shellcode from a local file into a specific process
  • Inject a shellcode into a spawned process
  • Assign alternate parent process
  • Execute command with another process as the parent
  • Spawn a session with another process as the parent
  • Download file/s
  • Display files currently being downloaded
  • Upload file/s
  • List files in current directory
  • Create new folder
  • Delete file/folder
  • Copy file/s
  • Move file/s
  • Log keystrokes
  • Take screenshots
  • Display currently executing backdoor command
  • Terminate currently executing backdoor command
  • Setup SOCKS4a proxy server
  • Setup reverse pivot
  • Disable reverse port forward
  • List privilege escalation exploits
  • Perform exploit to elevate privilege
  • Execute command using known credentials
  • Spawn session using known credentials
  • Impersonate a token for the SYSTEM account
  • Spawn a session in a process with elevated rights
  • Enable privileges assigned to current access token
  • Execute Mimikatz to recover user logon passwords
  • Scan ports
  • Enumerate network and hosts
  • Impersonate a token from an existing process
  • Inject a Kerberos ticket into the current session
  • Execute a payload on a remote host
  • Execute a payload on a remote host using PowerShell
  • Execute a payload on a remote host using WinRM
  • Deliver payload via Windows Management Instrumentation
  • Terminate itself
  • Terminate a process
  • Modify timestamps

Zum Zeitpunkt der Fertigstellung dieses Textes sind die genannten Server nicht verfügbar.

  Solução

Mecanismo de varredura mínima: 9.850

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Diese Ordner suchen und löschen

[ Saber mais ]
Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu berücksichtigen.
  • %User Temp%\_MEI2802

Step 4

Durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt, und löschen Sie Dateien, die als BKDR_COBEACON.B entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!