Backdoor.Win64.COBEACON.YXEEP

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスにコードを組み込みます。

• Created %system%\nsass.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Connect and disconnect to a named pipe
• Escalate privileges
• Execute arbitrary commands
• Impersonate tokens
• Inject code into processes
• Manage directories (Create, Remove, Set Directory)
• Manage files (List, Create, Delete, Modify, Rename, Copy)
• Manage processes (List, Create, Terminate)
• List Drive Information
• Use/purge Kerberos tickets

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ht22.execute-api.us-west-1.amazonaws.com
• {BLOCKED}jfwg.execute-api.ap-northeast-1.amazonaws.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Username
• Computer name
• Current process ID
• Operating system version and Architecture

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 名前付きパイプへの接続および切断
• 権限の昇格
• 任意のコマンドの実行
• トークンの偽装
• プロセスにコードの注入
• ディレクトリの管理（作成、削除、ディレクトリの設定）
• ファイルの管理（一覧表示、作成、削除、改ざん、名前変更、コピー）
• プロセスの管理（一覧表示、作成、終了）
• ドライブ情報の一覧表示
• Kerberosチケットの使用/削除

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ht22.execute-api.us-west-1.amazonaws.com
• {BLOCKED}jfwg.execute-api.ap-northeast-1.amazonaws.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• ユーザ名
• コンピュータ名
• 現在のプロセスID
• オペレーティングシステム（OS）のバージョンおよびアーキテクチャ