Backdoor.Win64.VOLDEMORT.THIODBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Ping
• Dir
• Download
• Upload
• Exec
• Copy
• Move
• Sleep
• Exit

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://{BLOCKED}oogleapis.com/v4/spreadsheets/16JvcER-0TVQDimWV56syk91IMCYXOvZbW4GTnb947eE/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Generated UUID
• Local IP
• Hostname
• Username
• Program Files contents
• Program Files (x86) contents
• Environment Variables
• Filename of executable
• Infection Timestamp

その他

マルウェアは、以下を実行します。

• It requires its filename to be the following to proceed with its intended routine:
  • CiscoSparkLauncher.dll
• It waits for 5 minutes before proceeding with its routine.
• It uses a hardcoded client ID, client secret, and refresh token to authenticate to a Google Sheets API and access a malicious Google spreadsheet.
• It sends and stores the gathered information to the following malicious Google spreadsheet URL via HTTP PUT method:
  • https://{BLOCKED}oogleapis.com/v4/spreadsheets/16JvcER-0TVQDimWV56syk91IMCYXOvZbW4GTnb947eE/values/test!{Cell Range}?valueInputOption=USER_ENTERED

以下のスケジュールされたタスクを追加します：

• Location: {Root Directory}
  Task name: CiscoCollabHostStart
  Trigger: One time at 8:00 PM on 03/10/2023 → After triggered, repeat every 5 minutes indefinitely.
  Action: Start a program → {Loader Path}\{Loader Filename}