Backdoor.Win64.COBEACON.ZAMD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}hk9.execute-api.eu-north-1.amazonaws.com/us/js/time/code/jquery-3.3.1.min.js → contains a modified code of the original jquery-3.3.1.min.js

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name
• Loader Process Name

その他

マルウェアは、以下を実行します。

• It requires to be loaded by svchost.exe to continue with its malicious routine.
• It requires the following file in order to decrypt its payload:
  • %System Root%\Users\Default\AppData\Local\Microsoft\Windows\shell\Default.xml → detected as Backdoor.Win64.COBEACON.ZAMD.enc
• If it is loaded by svchost.exe, it will open and read the Default.xml file into its memory, decrypt the file in memory and execute the decrypted code.

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

<補足>
バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}hk9.execute-api.eu-north-1.amazonaws.com/us/js/time/code/jquery-3.3.1.min.js → 元のコード「jquery-3.3.1.min.js」が改ざんされたコードを含む

情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータ名
• ユーザ名
• ローダのプロセス名

その他

マルウェアは、以下を実行します。

• マルウェアが自身の不正活動を継続するためには、svchost.exeによって読み込まれる必要があります。
• 自身のペイロードを復号するために以下のファイルが必要です。
  • %System Root%\Users\Default\AppData\Local\Microsoft\Windows\shell\Default.xml → 「Backdoor.Win64.COBEACON.ZAMD.enc」として検出される
• svchost.exeによって読み込まれた場合、Default.xmlファイルを開いてメモリ内に読み込みます。そして、メモリ内のファイルを復号した後、復号されたコードを実行します。