BKDR_QAKBOT.BI

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ランダムなポートを開きます。

マルウェアは、特定のフォルダ内にダウンロードしたファイルを保存します。

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ~sasg2136ggvsdswin

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Name} = ""%System Root%\Documents And Settings\All Users\_qbothome\_qbotinj.exe", "%System Root%\Documents And Settings\All Users\_qbothome\_qbot.dll", /c {Random application name}"

バックドア活動

マルウェアは、ランダムなポートを開き、不正リモートユーザが感染コンピュータに接続できるようにします。接続されると、不正リモートユーザは、感染コンピュータ上でのコマンド実行が可能となります。

ダウンロード活動

マルウェアは、特定のフォルダ内にダウンロードしたファイルを保存します。

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Its downloaded component files are referenced in its code:
• alias__qbot.cb
• alias__qbotnti.exe
• _qbotinj.exe
• _qbot.dll
• alias__qbotinj.exe
• alias__qbot.dll
• _qbotnti.exe
• _qbotinj
• It then save these files in the following folder: %system Root%\\All Users\\_qbothome
• It searches for information from the registry key, HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Account Manager\\Accounts, which may include Outlook Express passwords, Internet Explorer AutoComplete passwords, and Internet Explorer Password-protected sites.
• It also monitors affected users' browsing habits specifically on websites that contains any of the following strings:
• cashproonline.bankofamerica.com
• /cashplus/
• ebanking-services.com
• /cashman/
• web-cashplus.com
• treas-mgt.frostbank.com
• business-eb.ibanking-services.com
• treasury.pncbank.com
• access.jpmorgan.com
• ktt.key.com
• onlineserv/CM
• premierview.membersunited.org
• directline4biz.com
• onb.webcashmgmt.com
• tmconnectweb
• moneymanagergps.com
• ibc.klikbca.com
• directpay.wellsfargo.com
• express.53.com
• itreasury.regions.com
• itreasurypr.regions.com
• cpw-achweb.bankofamerica.com
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.{BLOCKED}cdc2121cdsfdfd.com
• http://{BLOCKED}eter.com

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。