BKDR_COBEACON.ZLFL-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Add or modify an environment variable
• Alternate Parent Process
• Change file time
• Escalate privilege
• File System Commands
• Get Drives
• Inject Code into a process
• List Processes
• Manage Service
• Open a process
• Sleep
• Steal or Make token
• Terminate process
• Use and Purge Kerberos Tickets
• Create, Connect and Disconnect to named pipe
• Modify file
• Set Current Directory
• Write a binary file
• Search for string in a file
• Create Process
• Check Loopback address
• Find File
• Create a directory
• Delete a directory

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.225.68/z/msnbc2_live01@3121/manifest.f4m?hdcore=3.1&g={Encrypted Environment Information}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Malware Process ID
• Operating System Version
• IP address
• Computer name
• User name

その他

マルウェアは、以下を実行します。

• マルウェアは、不正なWebサイトへの接続を隠蔽するために、以下のヘッダを作成します。
  • https://{BLOCKED}prod-lh.akamaihd.net/z/msnbc2_live01@3121/manifest.f4m?hdcore=3.1&g={暗号化された環境情報}

＜補足＞
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 環境変数を追加または変更する
• 親プロセスを変更する
• ファイルタイムを変更する
• 権限昇格
• ファイルシステムコマンドの実行
• ドライブの列挙
• プロセスにコードを挿入する
• プロセスの一覧表示
• サービスの管理
• プロセスを開く
• スリープする
• トークンの窃取または作成
• プロセスを終了する
• Kerberosチケットの使用およびパージ
• 名前が付けられたパイプを作成し、接続および切断する
• ファイルの変更
• 現在のディレクトリを設定する
• バイナリファイルを記述する
• ファイル内の文字列を検索する
• プロセスの作成
• ループバックアドレスの確認
• ファイルの検索
• ディレクトリの作成
• ディレクトリの削除

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.225.68/z/msnbc2_live01@3121/manifest.f4m?hdcore=3.1&g={暗号化された環境情報}

情報漏えい

マルウェアは、以下の情報を収集します。

• マルウェアのプロセスID
• オペレーティングシステム(OS)のバージョン
• IPアドレス
• コンピュータ名
• ユーザ名