BKDR_QAKBOT.SME

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

インストール

マルウェアは、以下のフォルダを作成します。

• %system Root%\All Users\_qbothome

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Name} = ''%System Root%\Documents And Settings\All Users\_qbothome\_qbotinj.exe', '%System Root%\Documents And Settings\All Users\_qbothome\_qbot.dll', /c {Random application name}'

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• microsoft
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• trendmicro
• virus
• wilderssecurity
• windowsupdate

ダウンロード活動

マルウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://{BLOCKED}ver.com.ua/cgi-bin/exhandler4.pl
• http://{BLOCKED}cn/cgi-bin/jl/jloader.pl?r=3d
• http://{BLOCKED}cdcdcdc2121cdsfdfd.com
• http://{BLOCKED}n/cgi-bin/jl/jloader.pl?
• http://{BLOCKED}n/1
• http://{BLOCKED}n/cgi-bin/jl/jloader.pl?r=q
• http://{BLOCKED}ver.com.ua/cgi-bin/ss.pl
• http://{BLOCKED}wthewhistle.com/cgi-bin/clientinfo3.pl

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

マルウェア自身のコードは、以下のコンポーネントファイルを参照します。

• alias__qbotinj.exe
• alias__qbot.cb
• alias__qbotnti.exe
• _qbotnti.exe
• _qbotinj.exe
• alias__qbot.dll
• _qbot.dll
• _qbotinj

その他

マルウェアは、リモートホストの感染を知らせる以下の情報を送信します。

• ext_ip
• dnsname
• hostname
• country
• state
• city
• user
• domain
• is_admin
• os
• time
• qbot_version
• install_time

マルウェアは、以下の文字列を含むWebサイトでのユーザのインターネット閲覧状況を監視します。

• cashproonline.bankofamerica.com
• singlepoint.usbank.com
• netconnect.bokf.com
• business-eb.ibanking-services.com
• cashproonline.bankofamerica.com
• /cashplus/
• ebanking-services.com
• /cashman/
• web-cashplus.com
• treas-mgt.frostbank.com
• business-eb.ibanking-services.com
• treasury.pncbank.com
• access.jpmorgan.com
• ktt.key.com
• onlineserv/CM
• premierview.membersunited.org
• directline4biz.com
• onb.webcashmgmt.com
• tmconnectweb
• moneymanagergps.com
• ibc.klikbca.com
• directpay.wellsfargo.com
• express.53.com
• itreasury.regions.com
• itreasurypr.regions.com
• cpw-achweb.bankofamerica.com
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com

マルウェアは、以下のレジストリキーから情報を検索します。

キー：
HKEY_CURRENT_USER\Software\Microsoft\Internet Account Manager\Accounts

上記レジストリキーは、以下の情報を含みます。

• Outlook Expressのパスワード
• Internet Explorerの自動入札パスワード
• Internet Explorerのパスワードで保護されたWebサイト

マルウェアは、特定のWebサイトから自身の環境設定ファイルをダウンロードします。この環境設定ファイルには、自身のバックドア活動に使用するためのFTPまたはIRC情報を含むみます。不正プログラムは、ランダムなポートを開きます。不正プログラムは、上記のFTPまたはIRCを使用してリモートサーバに接続します。接続すると、不正リモートユーザは、感染コンピュータ内でコマンドを実行します。