Trojan.Win64.COBALT.RC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random string of 7–10 characters}.sys

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
services\{Random string of 7–10 characters}
ImagePath = %User Temp%\{Random string of 7–10 characters}.sys

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
services\{Random string of 7–10 characters}
Type = 1

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
services\{Random string of 7–10 characters}

マルウェアは、以下を実行します。

• It creates and runs the following services:
  • Service Name: {Random string of 7–10 characters}
  • Image Path: %User Temp%\{Random string of 7–10 characters}.sys
• It requires at least Windows 10 version 1607 Anniversary Update for driver compatibility.
• It enables the Windows privilege that allows the process to load and unload kernel-mode drivers.
• It disables Windows kernel notification callbacks.
• It disables Object Manager callbacks.
• It disables Configuration Manager (Registry) callbacks.
• It disables File System MiniFilter callbacks.
• After its execution, it removes the malicious driver and clears traces of its activity to hide evidence of the infection by performing the following actions:
  • Unloading the driver
  • Deleting registry service entries
  • Removing the driver file from disk

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のパラメータを受け取ります。

• 0 → Terminates execution
• 1 → Loads the vulnerable DBUtil_2_3.sys, driver used in Dell utilities
• 2 → Loads the vulnerable wnbios.sys driver
• 3 → Loads the vulnerable gdrv.sys, driver from Gigabyte utilities
• 4 → Loads the vulnerable RTCore64.sys, driver from MSI Afterburner