Backdoor.Win64.COBEACON.OSLJEL

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Recopila determinada información del equipo afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• %System%\rundll32.exe
• %System%\cmd.exe /c "powershell -nop -exec bypass -{EncodedCommand}"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• Created %System%\rundll32.exe process

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• List Drive Information
• Inject Code to Processes
• Impersonate User Tokens
• Enumerate Registries
• Execute Arbitrary Commands
• Manage Files:
  • Copy
  • Move
  • List
  • Open
  • Delete
  • Read/Modify file contents
  • Read/Modify file time
• Manage Directory:
  • Create
  • Delete
• Manage Processes:
  • Create
  • Terminate
  • Open
  • Elevation
• Use/purge Kerberos tickets
• Toggle SMB mode to communicate to a parent beacon via named pipes
• Connect and disconnect to a named pipe
• Upload/download files

However, as of this writing, the said sites are inaccessible.

Robo de información

Recopila la siguiente información del equipo afectado:

• Computer Name
• Username
• Host Name
• IP Address
• OS Version and Architecture
• Current Process ID

Otros detalles

Hace lo siguiente:

• Creates the following named pipe and connects to it:
  • MSSE-{Random number}-server