TSPY_QAKBOT.IC

スパイウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

スパイウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Vuuilrj\vuuilrj.dll
• %Application Data%\Microsoft\Vuuilrj\vuuilr.dll
• %Application Data%\Microsoft\Abatl\abat.dll
• %Application Data%\Microsoft\Abatl\abatl.dll

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Abatl\abatl.exe
• %Application Data%\Microsoft\Vuuilrj\vuuilrj.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = %System%\ctfmon.exe

バックドア活動

スパイウェアは、IEのウィンドウを非表示で開きます。

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.{BLOCKED}ress.com/
• http://www.{BLOCKED}essworld.com/