Backdoor.Win64.COBEACON.FARC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute arbitrary code
• Inject code into processes
• Manage services
• Manage processes
• Manage files/directories
• Manage named pipes
• Manage environment variables
• List logical drives
• List registry entries
• List IP addresses
• Impersonate user tokens

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{Random numbers}.ns2.{BLOCKED}s.club/_/scs/mail-static/_/js/
• http://{Random numbers}.ns2.{BLOCKED}s.club/mail/u/0

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• User name
• Computer name
• OS version
• Host name
• IP address
• Current process ID

その他

マルウェアは、以下を実行します。

• It appends the following to the requests as additional header:
  • Cookie: OSID={Encoded stolen information}

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 任意のコードの実行
• プロセス内にコードの注入
• サービスの管理
• プロセスの管理
• ファイル/ディレクトリの管理
• 名前付きパイプの管理
• 環境変数の管理
• 論理ドライブの一覧表示
• レジストリエントリの一覧表示
• IPアドレスの一覧表示
• ユーザトークンの偽装

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{ランダムな数字}.ns2.{BLOCKED}s.club/_/scs/mail-static/_/js/
• http://{ランダムな数字}.ns2.{BLOCKED}s.club/mail/u/0

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• ユーザ名
• コンピュータ名
• オペレーティングシステム（OS）のバージョン
• ホスト名
• IPアドレス
• カレントプロセスID

その他

マルウェアは、以下を実行します。

• マルウェアは、追加ヘッダーとしてリクエストに以下を追加します。
  • Cookie: OSID={エンコードされた窃取された情報}