BKDR_COBEACON.ZKFF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• Downloaded by TROJ_COBEACON.ZKFF-A

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Alternate Parent Process
• Change file time
• Escalate privilege
• Execute PowerShell commands
• File System Commands
• Get Drives
• Inject Code into a process
• List Processes
• Manage Service
• Open a process
• Sleep
• Steal or Make token
• Terminate process
• Upload and Download Files
• Use and Purge Kerberos Tickets
• Create, Connect and Disconnect to named pipe
• Add or modify an environment variable

情報漏えい

マルウェアは、以下の情報を収集します。

• Malware Process ID
• Operating System Version
• IP Address
• Computer Name
• User name

＜補足＞
侵入方法

マルウェアは、以下のマルウェアにダウンロードされてコンピュータに侵入します。

• TROJ_COBEACON.ZKFF-A

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 親プロセスを変更する
• ファイルタイムを変更する
• 権限昇格
• PowerShellコマンドの実行
• ファイルシステムコマンドの実行
• ドライブの列挙
• プロセスにコードを挿入する
• プロセスの一覧表示
• サービスの管理
• プロセスを開く
• スリープする
• トークンの窃取または作成
• プロセスを終了する
• ファイルのアップロードおよびダウンロード
• Kerberosチケットの使用およびパージ
• 名前が付けられたパイプを作成し、接続および切断する
• 環境変数を追加または変更する

情報漏えい

マルウェアは、以下の情報を収集します。

• マルウェアのプロセスID
• オペレーティングシステム（OS）のバージョン
• IPアドレス
• コンピュータ名
• ユーザ名

その他

マルウェアは、コマンドの送受信に、名前が付けられたパイプを利用します。

マルウェアは、以下のDNSサーバーおよびURLに接続して、情報を送受信します。

• post.{一定長のデータ}.{ランダムな数字}.ns1.{BLOCKED}ervice.com
• post.{一定長のデータ}.{ランダムな数字}.ns2. {BLOCKED}ervice.com
• post.{一定長のデータ}.{ランダムな数字}.ns3. {BLOCKED}ervice.com
• http://{ランダムな数字}.ns1. {BLOCKED}ervice.com/ca
• http://{ランダムな数字}.ns2. {BLOCKED}ervice.com/en_US/all.js
• http://{ランダムな数字}.ns3. {BLOCKED}ervice.com/dot.gif