TROJ_QBOT.WX

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、以下のフォルダを作成します。

• %system Root%\All Users\_qbothome

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ~sasg2136ggvsdswin

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Random Name} = %System Root%\Documents And Settings\All Users\_qbothome\_qbotinj.exe', '%System Root%\Documents And Settings\All Users\_qbothome\_qbot.dll, /c {Random application name}

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• {BLOCKED}v.co.in
• http://{BLOCKED}02.cn/cgi-bin/jl/jloader.pl?r=3d
• http://{BLOCKED}5.in/1
• http://{BLOCKED}5.in/cgi-bin/jl/jloader.pl?
• http://{BLOCKED}5.in/cgi-bin/jl/jloader.pl?r=q
• http://{BLOCKED}ver.com.ua/cgi-bin/exhandler4.pl
• http://{BLOCKED}ver.com.ua/cgi-bin/ss.pl
• http://{BLOCKED}thewhistle.com/cgi-bin/clientinfo3.pl
• http://www.{BLOCKED}cdc2121cdsfdfd.com
• {BLOCKED}3.com.ua
• {BLOCKED}4.cn
• {BLOCKED}1.co.in
• {BLOCKED}2.co.in
• {BLOCKED}3.in