Backdoor.Win64.COBEACON.ZCLG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Connect and disconnect to a named pipe
• Escalate privileges
• Execute arbitrary commands
• Impersonate tokens
• Inject code into processes
• Manage directories (Create, Remove, Set Directory)
• Manage files (List, Create, Delete, Modify, Rename, Copy)
• Manage processes (List, Create, Terminate)
• List Drive Information
• Use/purge Kerberos tickets

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}g-f12b.azuer.workers.dev/feedback/js/help/prod/service/lazy.min.js
• http://{BLOCKED}g-f12b.azuer.workers.dev/we/s/h36B915845CCD42D1_App_Scripts/jquery.signalR2.1.1.min.js

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Computer name
• Operating System Version
• Executable used to load the sample

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %windows%\assembly\msco.conf → Detected as Backdoor.Win64.COBEACON.ZCLG.enc

マルウェアは、以下を実行します。

• This sample needs to be located in the %windows%\assembly directory and have a file name of 'mscorsvc.dll' to execute properly.
• It is loaded by normal file Mscorsvw.exe which is acomponent of Windows, and is otherwise known as the .NET Framework Optimization Service.
• It requires to be executed as a service.