解析者: Jeffrey Francis Bonaobra   
 別名:

Trojan:Win32/QbotLNK.SA (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 546,816 bytes
タイプ ISO
メモリ常駐 なし
発見日 2022年11月18日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Temp%\ashenRemitted.exe
  • {Malware File Path}\gatekeepers\snows.dat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

  • %System%\cmd.exe /c gatekeepers\disorganized.cmd
  • %User Temp%\ashenRemitted.exe gatekeepers\snows.dat
  • %System%\wermgr.exe
  • net view
  • cmd /c set
  • arp -a
  • ipconfig /all
  • nslookup -querytype=ALL -timeout=12_ldap._tcp.dc._msdcs.{Workgroup}
  • nltest /domain_trusts /all_trusts
  • net share
  • route print
  • netstat -nao
  • net localgroup
  • qwinsta
  • whoami /all

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Louofmeuqoooo
{8 random characters} = {hex values}

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Louofmeuqoooo

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}.104.54.213:2222
  • http://{BLOCKED}.{BLOCKED}.48.150.234:995
  • http://{BLOCKED}.{BLOCKED}.133.67.116:995
  • http://{BLOCKED}.{BLOCKED}.141.184.246:995
  • http://{BLOCKED}.{BLOCKED}.213.183.141:995
  • http://{BLOCKED}.{BLOCKED}.216.39.119:995
  • http://{BLOCKED}.{BLOCKED}.176.187.142:995
  • http://{BLOCKED}.{BLOCKED}.58.124.198:995
  • http://{BLOCKED}.{BLOCKED}.112.37.112:2222
  • http://{BLOCKED}.{BLOCKED}.117.139.142:995
  • http://{BLOCKED}.{BLOCKED}.117.139.242:995
  • http://{BLOCKED}.{BLOCKED}.112.25.19:2078
  • http://{BLOCKED}.{BLOCKED}.112.25.19:2222
  • http://{BLOCKED}.{BLOCKED}.112.25.29:2078
  • http://{BLOCKED}.{BLOCKED}.112.25.29:2222
  • http://{BLOCKED}.{BLOCKED}.112.25.39:2222
  • http://{BLOCKED}.{BLOCKED}.112.25.59:2078
  • http://{BLOCKED}.{BLOCKED}.112.25.59:2222
  • http://{BLOCKED}.{BLOCKED}.112.25.69:2222
  • http://{BLOCKED}.{BLOCKED}.112.25.99:2078
  • http://{BLOCKED}.{BLOCKED}.112.25.99:2222
  • http://{BLOCKED}.{BLOCKED}.100.109.130:32101
  • http://{BLOCKED}.{BLOCKED}.148.124.243:2222
  • http://{BLOCKED}.{BLOCKED}.206.68.150:2222
  • http://{BLOCKED}.{BLOCKED}.207.196.66:2222
  • http://{BLOCKED}.{BLOCKED}.37.174.11:2222
  • http://{BLOCKED}.{BLOCKED}.1.227.26:995
  • http://{BLOCKED}.{BLOCKED}.210.121.173:2222
  • http://{BLOCKED}.{BLOCKED}.223.166.250:32100
  • http://{BLOCKED}.{BLOCKED}.223.172.129:32100
  • http://{BLOCKED}.{BLOCKED}.1.251.127:2087
  • http://{BLOCKED}.{BLOCKED}.134.54.185:2222
  • http://{BLOCKED}.{BLOCKED}.19.90:2078
  • http://{BLOCKED}.{BLOCKED}.134.202:995
  • http://{BLOCKED}.{BLOCKED}.196.18:995
  • http://{BLOCKED}.{BLOCKED}.196.28:995
  • http://{BLOCKED}.{BLOCKED}.179.188:2222
  • http://{BLOCKED}.{BLOCKED}.169.132:995
  • http://{BLOCKED}.{BLOCKED}.36.226:2087
  • http://{BLOCKED}.{BLOCKED}.241.187:995
  • http://{BLOCKED}.{BLOCKED}.123.127:995
  • http://{BLOCKED}.{BLOCKED}.112.158:2222
  • http://{BLOCKED}.{BLOCKED}.112.168:2222
  • http://{BLOCKED}.{BLOCKED}.112.748:2222
  • http://{BLOCKED}.{BLOCKED}.21.70:995
  • http://{BLOCKED}.{BLOCKED}.191.112:2222
  • http://{BLOCKED}.{BLOCKED}.191.152:2222
  • http://{BLOCKED}.{BLOCKED}.191.162:2222
  • http://{BLOCKED}.{BLOCKED}.191.192:2222
  • http://{BLOCKED}.{BLOCKED}.191.202:2222
  • http://{BLOCKED}.{BLOCKED}.191.212:2222
  • http://{BLOCKED}.{BLOCKED}.191.312:2222
  • http://{BLOCKED}.{BLOCKED}.191.422:2222
  • http://{BLOCKED}.{BLOCKED}.191.472:2222
  • http://{BLOCKED}.{BLOCKED}.191.482:2222
  • http://{BLOCKED}.{BLOCKED}.191.632:2222
  • http://{BLOCKED}.{BLOCKED}.191.742:2222
  • http://{BLOCKED}.{BLOCKED}.191.782:2222
  • http://{BLOCKED}.{BLOCKED}.191.792:2222
  • http://{BLOCKED}.{BLOCKED}.139.145:995
  • http://{BLOCKED}.{BLOCKED}.139.215:995
  • http://{BLOCKED}.{BLOCKED}.139.245:995
  • http://{BLOCKED}.{BLOCKED}.236.205:2222
  • http://{BLOCKED}.{BLOCKED}.107.133:995
  • http://{BLOCKED}.{BLOCKED}.107.603:995
  • http://{BLOCKED}.{BLOCKED}.139.148:2222
  • http://{BLOCKED}.{BLOCKED}.142.214:2222
  • http://{BLOCKED}.{BLOCKED}.161.18:2222
  • http://{BLOCKED}.{BLOCKED}.161.78:2222
  • http://{BLOCKED}.{BLOCKED}.243.113:50000
  • http://{BLOCKED}.{BLOCKED}.243.113:995
  • http://{BLOCKED}.{BLOCKED}.243.243:50000
  • http://{BLOCKED}.{BLOCKED}.233.194:995
  • http://{BLOCKED}.{BLOCKED}.233.664:995
  • http://{BLOCKED}.{BLOCKED}.233.914:995
  • http://{BLOCKED}.{BLOCKED}.233.994:995
  • http://{BLOCKED}.{BLOCKED}.118.79:995
  • http://{BLOCKED}.{BLOCKED}.43.145:2222
  • http://{BLOCKED}.{BLOCKED}.143.144:2222
  • http://{BLOCKED}.{BLOCKED}.143.154:2222
  • http://{BLOCKED}.{BLOCKED}.143.204:2222
  • http://{BLOCKED}.{BLOCKED}.143.224:2222
  • http://{BLOCKED}.{BLOCKED}.143.424:2222
  • http://{BLOCKED}.{BLOCKED}.251.173:2222
  • http://{BLOCKED}.{BLOCKED}.1.12:2222
  • http://{BLOCKED}.{BLOCKED}.1.22:2222
  • http://{BLOCKED}.{BLOCKED}.156.150:50000
  • http://{BLOCKED}.{BLOCKED}.109.4:2222
  • http://{BLOCKED}.{BLOCKED}.169.191:2222
  • http://{BLOCKED}.{BLOCKED}.204.18:2078
  • http://{BLOCKED}.{BLOCKED}.204.98:2078
  • http://{BLOCKED}.{BLOCKED}.109.177:995
  • http://{BLOCKED}.{BLOCKED}.28.34:995
  • https://{BLOCKED}.{BLOCKED}.160.115
  • https://{BLOCKED}.{BLOCKED}.156.248
  • https://{BLOCKED}.{BLOCKED}.240.236
  • https://{BLOCKED}.{BLOCKED}.120.163
  • https://{BLOCKED}.{BLOCKED}.120.163/t5
  • https://{BLOCKED}.{BLOCKED}.120.183
  • https://{BLOCKED}.{BLOCKED}.120.233
  • https://{BLOCKED}.{BLOCKED}.120.903
  • https://{BLOCKED}.{BLOCKED}.18.210
  • https://{BLOCKED}.{BLOCKED}.177.5
  • https://{BLOCKED}.{BLOCKED}.23.234
  • https://{BLOCKED}.{BLOCKED}.157.144
  • https://{BLOCKED}.{BLOCKED}.157.184
  • https://{BLOCKED}.{BLOCKED}.157.184/t5
  • https://{BLOCKED}.{BLOCKED}.139.142:995/t5
  • https://{BLOCKED}.{BLOCKED}.25.29:2078/t5
  • https://{BLOCKED}.{BLOCKED}.25.29:2222/t5
  • https://{BLOCKED}.{BLOCKED}.209.5
  • https://{BLOCKED}.{BLOCKED}.209.5/t5
  • https://{BLOCKED}.{BLOCKED}.3.126
  • https://{BLOCKED}.{BLOCKED}.91.19
  • https://{BLOCKED}.{BLOCKED}.91.29
  • https://{BLOCKED}.{BLOCKED}.91.39
  • https://{BLOCKED}.{BLOCKED}.91.69
  • https://{BLOCKED}.{BLOCKED}.91.69/t5
  • https://{BLOCKED}.{BLOCKED}.91.99
  • https://{BLOCKED}.{BLOCKED}.67.44
  • https://{BLOCKED}.{BLOCKED}.140.43
  • https://{BLOCKED}.{BLOCKED}.194.169
  • https://{BLOCKED}.{BLOCKED}.61.177
  • https://{BLOCKED}.{BLOCKED}.11.218
  • https://{BLOCKED}.{BLOCKED}.248.136
  • https://{BLOCKED}.{BLOCKED}.173.15
  • https://{BLOCKED}.{BLOCKED}.173.25
  • https://{BLOCKED}.{BLOCKED}.173.55
  • https://{BLOCKED}.{BLOCKED}.173.55/t5
  • https://{BLOCKED}.{BLOCKED}.51.44
  • https://{BLOCKED}.{BLOCKED}.213.13
  • https://{BLOCKED}.{BLOCKED}.213.13/t5
  • https://{BLOCKED}.{BLOCKED}.120.40
  • https://{BLOCKED}.{BLOCKED}.134.218
  • https://{BLOCKED}.{BLOCKED}.103.6
  • https://{BLOCKED}.{BLOCKED}.233.40
  • https://{BLOCKED}.{BLOCKED}.45.121
  • https://{BLOCKED}.{BLOCKED}.45.121/t5
  • https://{BLOCKED}.{BLOCKED}.45.521
  • https://{BLOCKED}.{BLOCKED}.111.153
  • https://{BLOCKED}.{BLOCKED}.220.167
  • https://{BLOCKED}.{BLOCKED}.7.115
  • https://{BLOCKED}.{BLOCKED}.227.31
  • https://{BLOCKED}.{BLOCKED}.227.31/t5
  • https://{BLOCKED}.{BLOCKED}.227.61
  • https://{BLOCKED}.{BLOCKED}.77.84
  • https://{BLOCKED}.{BLOCKED}.17.38
  • https://{BLOCKED}.{BLOCKED}.136.196
  • https://{BLOCKED}.{BLOCKED}.196.18:995/t5
  • https://{BLOCKED}.{BLOCKED}.183.19
  • https://{BLOCKED}.{BLOCKED}.183.29
  • https://{BLOCKED}.{BLOCKED}.183.39
  • https://{BLOCKED}.{BLOCKED}.183.39/t5
  • https://{BLOCKED}.{BLOCKED}.249.28
  • https://{BLOCKED}.{BLOCKED}.158.37
  • https://{BLOCKED}.{BLOCKED}.97.45
  • https://{BLOCKED}.{BLOCKED}.109.183
  • https://{BLOCKED}.{BLOCKED}.229.4
  • https://{BLOCKED}.{BLOCKED}.141.17
  • https://{BLOCKED}.{BLOCKED}.141.97
  • https://{BLOCKED}.{BLOCKED}.141.97/t5
  • https://{BLOCKED}.{BLOCKED}.96.10
  • https://{BLOCKED}.{BLOCKED}.96.20
  • https://{BLOCKED}.{BLOCKED}.96.30
  • https://{BLOCKED}.{BLOCKED}.96.60
  • https://{BLOCKED}.{BLOCKED}.96.60/t5
  • https://{BLOCKED}.{BLOCKED}.96.90
  • https://{BLOCKED}.{BLOCKED}.112.158:2222/t5
  • https://{BLOCKED}.{BLOCKED}.248.215
  • https://{BLOCKED}.{BLOCKED}.148.27
  • https://{BLOCKED}.{BLOCKED}.148.47
  • https://{BLOCKED}.{BLOCKED}.148.67
  • https://{BLOCKED}.{BLOCKED}.148.87
  • https://{BLOCKED}.{BLOCKED}.148.87/t5
  • https://{BLOCKED}.{BLOCKED}.191.212:2222/t5
  • https://{BLOCKED}.{BLOCKED}.139.145:995/t5
  • https://{BLOCKED}.{BLOCKED}.107.133:995/t5
  • https://{BLOCKED}.{BLOCKED}.147.145
  • https://{BLOCKED}.{BLOCKED}.147.145/t5
  • https://{BLOCKED}.{BLOCKED}.147.685
  • https://{BLOCKED}.{BLOCKED}.199.70
  • https://{BLOCKED}.{BLOCKED}.47.179
  • https://{BLOCKED}.{BLOCKED}.214.23
  • https://{BLOCKED}.{BLOCKED}.109.104
  • https://{BLOCKED}.{BLOCKED}.109.104/t5
  • https://{BLOCKED}.{BLOCKED}.109.134
  • https://{BLOCKED}.{BLOCKED}.109.174
  • https://{BLOCKED}.{BLOCKED}.109.184
  • https://{BLOCKED}.{BLOCKED}.109.244
  • https://{BLOCKED}.{BLOCKED}.109.274
  • https://{BLOCKED}.{BLOCKED}8.245.71
  • https://{BLOCKED}.{BLOCKED}.10.29
  • https://{BLOCKED}.{BLOCKED}.10.79
  • https://{BLOCKED}.{BLOCKED}.10.79/t5
  • https://{BLOCKED}.{BLOCKED}.176.108
  • https://{BLOCKED}.{BLOCKED}.176.128
  • https://{BLOCKED}.{BLOCKED}.176.138
  • https://{BLOCKED}.{BLOCKED}.176.158
  • https://{BLOCKED}.{BLOCKED}.176.218
  • https://{BLOCKED}.{BLOCKED}.176.218/t5
  • https://{BLOCKED}.{BLOCKED}.176.388
  • https://{BLOCKED}.{BLOCKED}.176.928
  • https://{BLOCKED}.{BLOCKED}.148.51
  • https://{BLOCKED}.{BLOCKED}.148.51/t5
  • https://{BLOCKED}.{BLOCKED}.161.78:2222/t5
  • https://{BLOCKED}.{BLOCKED}.243.113:50000/t5
  • https://{BLOCKED}.{BLOCKED}.233.194:995/t5
  • https://{BLOCKED}.{BLOCKED}.234.68
  • https://{BLOCKED}.{BLOCKED}.187.164
  • https://{BLOCKED}.{BLOCKED}.134.132
  • https://{BLOCKED}.{BLOCKED}.135.247
  • https://{BLOCKED}.{BLOCKED}.143.154:2222/t5
  • https://{BLOCKED}.{BLOCKED}.49.170
  • https://{BLOCKED}.{BLOCKED}.192.136
  • https://{BLOCKED}.{BLOCKED}.180.24
  • https://{BLOCKED}.{BLOCKED}.180.94
  • https://{BLOCKED}.{BLOCKED}.180.94/t5
  • https://{BLOCKED}.{BLOCKED}.61.22:2222/t5
  • https://{BLOCKED}.{BLOCKED}.204.18:2078/t5
  • https://{BLOCKED}.{BLOCKED}.133.150
  • https://{BLOCKED}.{BLOCKED}.70.36
  • https://{BLOCKED}.{BLOCKED}.70.36/t5
  • https://{BLOCKED}.{BLOCKED}.70.96
  • https://{BLOCKED}.{BLOCKED}.227.79
  • https://{BLOCKED}.{BLOCKED}.115.120
  • https://{BLOCKED}.{BLOCKED}.115.150
  • https://{BLOCKED}.{BLOCKED}.115.160
  • https://{BLOCKED}.{BLOCKED}.115.160/t5
  • https://{BLOCKED}.{BLOCKED}.115.200
  • https://{BLOCKED}.{BLOCKED}.115.210
  • https://{BLOCKED}.{BLOCKED}.115.320
  • https://{BLOCKED}.{BLOCKED}.115.900
  • https://{BLOCKED}oadcom.com
  • https://{BLOCKED}sco.com
  • https://{BLOCKED}ogle.com
  • https://{BLOCKED}s.gov
  • https://{BLOCKED}nkedin.com
  • https://{BLOCKED}crosoft.com
  • https://{BLOCKED}acle.com
  • https://www.{BLOCKED}o.com
  • https://www.{BLOCKED}o.com/?p=us
  • https://www.{BLOCKED}o.com
  • https://{BLOCKED}risign.com
  • https://www.{BLOCKED}m.com
  • https://www.{BLOCKED}o.com
  • https://www.{BLOCKED}e.com
  • https://www.{BLOCKED}s.gov
  • https://www.{BLOCKED}ft.com
  • https://www.{BLOCKED}ft.com/en-ph
  • https://www.{BLOCKED}le.com
  • https://www.{BLOCKED}le.com/upgrade-browser
  • https://www.{BLOCKED}ty.com
  • https://www.{BLOCKED}ty.com/overview
  • https://www.{BLOCKED}o.com
  • https://{BLOCKED}y.com
  • https://{BLOCKED}.com

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 17.944.05
初回 VSAPI パターンリリース日 2022年11月18日
VSAPI OPR パターンバージョン 17.945.00
VSAPI OPR パターンリリース日 2022年11月19日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Louofmeuqoooo
    • {8 random characters} = {hex values}

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Louofmeuqoooo

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\ashenRemitted.exe
  • {Malware File Path}\gatekeepers\snows.dat

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.QAKBOT.DRTH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください