BKDR_COBEACON.B

Öffnet zufällig ausgewählte Ports. Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\_MEI2802\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI2802\MSVCR100.dll
• %User Temp%\_MEI2802\_bz2.pyd
• %User Temp%\_MEI2802\_ctypes.pyd
• %User Temp%\_MEI2802\_hashlib.pyd
• %User Temp%\_MEI2802\_lzma.pyd
• %User Temp%\_MEI2802\_socket.pyd
• %User Temp%\_MEI2802\_ssl.pyd
• %User Temp%\_MEI2802\df_newc2_stageless.exe.manifest
• %User Temp%\_MEI2802\pyexpat.pyd
• %User Temp%\_MEI2802\python34.dll
• %User Temp%\_MEI2802\select.pyd
• %User Temp%\_MEI2802\unicodedata.pyd
• %User Temp%\_MEI2802\Include\pyconfig.h
• %User Temp%\_MEI2802\base_library.zip

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Temp%\_MEI2802
• %User Temp%\_MEI2802\Include

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Backdoor-Routine

Öffnet zufällig ausgewählte Ports, damit sich ein externer Benutzer mit dem betroffenen System verbinden kann. Nach dem Herstellen der Verbindung führt der externe Benutzer Befehle auf dem betroffenen System aus.

Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:

• Set sleep time
• Execute shell command
• Execute PowerShell command using Powershell
• Execute PowerShell cmdlets without powershell.exe
• Execute PowerShell command by injecting to a specific process
• Execute command from a specific directory
• Spawn session for listener
• Spawn specific architecture and full path to a program to spawn
• Inject a session into a specific process
• Inject a 64-bit version of malware to a 64-bit process
• Inject Reflective DLL into a process
• Inject a shellcode from a local file into a specific process
• Inject a shellcode into a spawned process
• Assign alternate parent process
• Execute command with another process as the parent
• Spawn a session with another process as the parent
• Download file/s
• Display files currently being downloaded
• Upload file/s
• List files in current directory
• Create new folder
• Delete file/folder
• Copy file/s
• Move file/s
• Log keystrokes
• Take screenshots
• Display currently executing backdoor command
• Terminate currently executing backdoor command
• Setup SOCKS4a proxy server
• Setup reverse pivot
• Disable reverse port forward
• List privilege escalation exploits
• Perform exploit to elevate privilege
• Execute command using known credentials
• Spawn session using known credentials
• Impersonate a token for the SYSTEM account
• Spawn a session in a process with elevated rights
• Enable privileges assigned to current access token
• Execute Mimikatz to recover user logon passwords
• Scan ports
• Enumerate network and hosts
• Impersonate a token from an existing process
• Inject a Kerberos ticket into the current session
• Execute a payload on a remote host
• Execute a payload on a remote host using PowerShell
• Execute a payload on a remote host using WinRM
• Deliver payload via Windows Management Instrumentation
• Terminate itself
• Terminate a process
• Modify timestamps

Zum Zeitpunkt der Fertigstellung dieses Textes sind die genannten Server nicht verfügbar.