BKDR_QAKBOT.MEOF

マルウェアは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、P2Pの共有フォルダを介してコンピュータに侵入します。

マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。

マルウェアは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\Microsoft\{random}\{random}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Profile%\Application Data\Microsoft\{random}\{random}.dll

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Microsoft\{random}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%User Profile%\Application Data\Microsoft\{random}\{random}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = "%User Profile%\Application Data\Microsoft\{random}\{random}.exe /c %System%\ctfmon.exe"

(註：変更前の上記レジストリ値は、「%System%\ctfmon.exe」となります。)

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• facebook.com/login.php

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}auskmt.pw
• {BLOCKED}heusas.org
• {BLOCKED}cmasn.net
• {BLOCKED}kdfasjdmtf.org
• {BLOCKED}psgrn.com
• {BLOCKED}tmaksjdo.net
• {BLOCKED}aqmi.net
• {BLOCKED}uakyat.org
• {BLOCKED}hatdfsaf.net
• {BLOCKED}geyaihudmn.org
• {BLOCKED}kahdmansgip.org
• {BLOCKED}ifdnaetra.net