TrojanSpy.Win32.QAKBOT.C

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\Microsoft\{random folder}\{random file name}.{random extension} ← encrypted component
• %Windows%\Tasks\{GUID 1}.job (for Windows XP and below) ← executes the dropped copy
• %Application Data%\Microsoft\{random folder}\{random file name}.dat ← encrypted component
• %Application Data%\Microsoft\{random folder}\{random file name}32.dll ← encrypted configuration file

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\{random folder}\{random file name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• %Windows%\explorer.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\{random folder}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe ← created process

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = %Application Data%\Microsoft\{random folder name}\{random file name}.exe"

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ShellExperienceHost.exe
• Microsoft.Notes.exe
• windbg.exe
• ChromeUpdate.exe
• msdev.exe
• dbgview.exe
• ollydbg.exe
• ctfmon.exe
• Proxifier.exe
• nav.exe

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• .hsbcnet.com
• .ntrs.com
• .web-access.com
• .webcashmgmt.com
• /achupload
• /cashman/
• /cashplus/
• /clkccm/
• /cmserver/
• /corpach/
• /ibws/
• /payments/ach
• /payments/ach
• /stbcorp/
• /wcmpr/
• /wcmpw/
• /wcmtr/
• /wires/
• /wiret
• access.jpmorgan.com
• accessmoneymanager.com
• accessonline.abnamro.com
• achbatchlisting
• bankeft.com
• blilk.com
• businessaccess.citibank.citigroup.com
• businessbankingcenter.synovus.com
• business-eb.ibanking-services.com
• business-eb.ibanking-services.com
• businessinternetbanking.synovus.com
• businessonline.huntington.com
• businessonline.tdbank.com
• cashmanageronline.bbt.com
• cashproonline.bankofamerica.com
• cashproonline.bankofamerica.com
• cbs.firstcitizensonline.com
• chsec.wellsfargo.com
• cmol.bbt.com
• cmoltp.bbt.com
• commerceconnections.commercebank.com
• commercial.bnc.ca
• commercial.wachovia.com
• commercial2.wachovia.com
• commercial3.wachovia.com
• commercial4.wachovia.com
• corporatebanking
• cpw-achweb.bankofamerica.com
• ctm.53.com
• directline4biz.com
• directpay.wellsfargo.com
• each.bremer.com
• ebanking-services.com
• ecash.arvest.com
• e-facts.org
• e-moneyger.com
• express.53.com
• firstmeritib.com
• firstmeritib.com/defaultcorp.aspx
• goldleafach.com
• iachwellsprod.wellsfargo.com
• ibc.klikbca.com
• intellix.capitalonebank.com
• iris.sovereignbank.com
• itreasury.regions.com
• itreasurypr.regions.com
• jsp/mainWeb.jsp
• ktt.key.com
• moneymanagergps.com
• netconnect.bokf.com
• nj00-wcm
• ocm.suntrust.com
• olb-ebanking.com
• onlineserv/CM
• otm.suntrust.com
• paylinks.cunet.org
• paylinks.cunet.org
• premierview.membersunited.org
• premierview.membersunited.org
• providentnjolb.com
• schwabinstitutional.com
• scotiaconnect.scotiabank.com
• securentrycorp.amegybank.com
• securentrycorp.zionsbank.com
• singlepoint.usbank.com
• svbconnect.com
• tcfexpressbusiness.com
• tdcommercialbanking.com
• tdetreasury.tdbank.com
• tmcb.amegybank.com
• tmcb.zionsbank.com
• tmconnectweb
• treas-mgt.frostbank.com
• treasury.pncbank.com
• trz.tranzact.org
• trz.tranzact.org
• tssportal.jpmorgan.com
• wc.wachovia.com
• wcp.wachovia.com
• web-cashplus.com
• webexpress.tdbank.com
• webinfoplus.mandtbank.com
• wellsoffice.wellsfargo.com

スパイウェアは、以下の情報を収集します。

• GeoIP locations
• Browser cookies
• Flash cookies
• Network information
• System information
• FTP, POP3, IMAP, SMTP, HTTPMail, NNTP Passwords
• Outlook login credentials
• Private keys from system certificates
• Login credentials for certain websites
• Internet sessions

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• cnn.com
• microsoft.com
• baidu.com
• facebook.com
• yahoo.com
• wikipedia.org
• qq.com
• linkedin.com
• mail.ru

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• www.ip-adress.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {generated domain}.(com|net|org|info|biz|org)

スパイウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• siteadvisor.com
• avgthreatlabs.com
• safeweb.norton.com