BKDR_QAKBOT.MEOC

マルウェアは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、収集した情報をリモートサイトに送信します。

マルウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

マルウェアは、P2Pの共有フォルダを介してコンピュータに侵入します。

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\Microsoft\{random}\{random}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Profile%\Application Data\Microsoft\{random}\{random}.dll

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Microsoft\{random}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {malware name}a
• koucoua

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%User Profile%\Application Data\Microsoft\{random}\{random}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = "%User Profile%\Application Data\Microsoft\{random}\{random}.exe /c %System%\ctfmon.exe"

(註：変更前の上記レジストリ値は、「%System%\ctfmon.exe」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}auskmt.pw
• {BLOCKED}theusas.org
• {BLOCKED}cmasn.net
• {BLOCKED}skdfasjdmtf.org
• {BLOCKED}psgrn.com
• {BLOCKED}tmaksjdo.net
• {BLOCKED}aqmi.net
• {BLOCKED}akyat.org
• {BLOCKED}hatdfsaf.net
• {BLOCKED}geyaihudmn.org
• {BLOCKED}kahdmansgip.org
• {BLOCKED}ifdnaetra.net

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msdev.exe
• dbgview.exe
• ollydbg.exe
• ctfmon.exe
• Proxifier.exe

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• /achupload
• /cmserver/
• /corpach/
• /ibws/
• /payments/ach
• /payments/ach
• /stbcorp/
• /wcmpr/
• /wcmpw/
• /wcmtr/
• /wiret
• achbatchlisting
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com
• businessonline.tdbank.com
• cbs.firstcitizensonline.com
• chsec.wellsfargo.com
• commercial.wachovia.com
• commercial2.wachovia.com
• commercial3.wachovia.com
• commercial4.wachovia.com
• cpw-achweb.bankofamerica.com
• ctm.53.com
• directpay.wellsfargo.com
• express.53.com
• goldleafach.com
• iachwellsprod.wellsfargo.com
• itreasury.regions.com
• itreasurypr.regions.com
• scotiaconnect.scotiabank.com
• tcfexpressbusiness.com
• trz.tranzact.org
• trz.tranzact.org
• wc.wachovia.com
• wcp.wachovia.com
• webexpress.tdbank.com
• wellsoffice.wellsfargo.com

マルウェアは、収集した情報をリモートサイトに送信します。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• facebook.com/login.php

マルウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• explabs
• sanasecurity
• phishtank.com
• hautesecure.com
• truste.com
• clearclouddns
• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• threatfire
• trendmicro
• virus
• wilderssecurity
• windowsupdate
• update.microsoft
• download.microsoft