TSPY_QAKBOT.PE

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• {malware path}\{random file name}.dat ← encrypted component
• {malware path}\{random file name}.dll ← encrypted configuration file
• %Windows%\Tasks\{GUID 1}.job (for Windows XP and below) ← executes the malware
• %Windows%\Tasks\{GUID 2}.job (for Windows XP and below) ← executes the Javascript component
• %System%\Tasks\{GUID 2} (for Windows Vista and above) ← executes the Javascript component
• %System%\Tasks\{GUID 1} (for Windows Vista and above) ← executes the malware
• %AppDataLocal%\Microsoft\{random file name}.wpl ← Javascript component

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random file name}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random}
ImagePath = {malware path}\{malware file name}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = {malware path}\{malware file name}.exe

スパイウェアは、以下のサービスを追加し、実行します。

• DisplayName : "Remote Procedure Call (RPC) Service"
  ImagePath : "{malware path}\{malware name}.exe /D"

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• windbg.exe
• ChromeUpdate.exe
• msdev.exe
• dbgview.exe
• ollydbg.exe
• ctfmon.exe
• Proxifier.exe
• nav.exe

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。は、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• tdetreasury.tdbank.com
• cmoltp.bbt.com
• cashmanageronline.bbt.com
• .hsbcnet.com
• ebc_ebc
• blilk.com
• bankeft.com
• cmol.bbt.com
• securentrycorp.zionsbank.com
• tmcb.zionsbank.com
• .web-access.com
• nj00-wcm
• commercial.bnc.ca
• /clkccm/
• paylinks.cunet.org
• e-facts.org
• accessonline.abnamro.com
• providentnjolb.com
• firstmeritib.com
• corporatebanking
• firstmeritib.com/defaultcorp.aspx
• e-moneyger.com
• jsp/mainWeb.jsp
• svbconnect.com
• premierview.membersunited.org
• each.bremer.com
• iris.sovereignbank.com
• /wires/
• paylinks.cunet.org
• securentrycorp.amegybank.com
• businessbankingcenter.synovus.com
• businessinternetbanking.synovus.com
• ocm.suntrust.com
• otm.suntrust.com
• cashproonline.bankofamerica.com
• singlepoint.usbank.com
• netconnect.bokf.com
• business-eb.ibanking-services.com
• cashproonline.bankofamerica.com
• /cashplus/
• ebanking-services.com
• /cashman/
• web-cashplus.com
• treas-mgt.frostbank.com
• business-eb.ibanking-services.com
• treasury.pncbank.com
• access.jpmorgan.com
• tssportal.jpmorgan.com
• ktt.key.com
• onlineserv/CM
• premierview.membersunited.org
• directline4biz.com
• .webcashmgmt.com
• tmconnectweb
• moneymanagergps.com
• ibc.klikbca.com
• directpay.wellsfargo.com
• express.53.com
• ctm.53.com
• itreasury.regions.com
• itreasurypr.regions.com
• cpw-achweb.bankofamerica.com
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com
• /cmserver/
• goldleafach.com
• iachwellsprod.wellsfargo.com
• achbatchlisting
• /achupload
• commercial2.wachovia.com
• commercial3.wachovia.com
• commercial4.wachovia.com
• wc.wachovia.com
• commercial.wachovia.com
• wcp.wachovia.com
• chsec.wellsfargo.com
• wellsoffice.wellsfargo.com
• /ibws/
• /stbcorp/
• /payments/ach
• trz.tranzact.org
• /wiret
• /payments/ach
• cbs.firstcitizensonline.com
• /corpach/
• scotiaconnect.scotiabank.com
• webexpress.tdbank.com
• businessonline.tdbank.com
• /wcmpw/
• /wcmpr/
• /wcmtr/
• tcfexpressbusiness.com
• trz.tranzact.org

スパイウェアは、以下の情報を収集します。

• GeoIP locations
• Browser cookies
• Flash cookies
• Network information
• System information
• FTP, POP3, IMAP, SMTP, HTTPMail, NNTP Passwords
• Outlook login credentials
• Private keys from system certificates
• Login credentials for certain websites
• Internet sessions

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• cnn.com
• microsoft.com
• baidu.com
• facebook.com
• yahoo.com
• wikipedia.org
• qq.com
• linkedin.com
• mail.ru
• http://sanjose.speedtest.comcast.net/speedtest/random750x750.jpg?x={random numbers}&y=1
• http://boston.speedtest.comcast.net/speedtest/random750x750.jpg?x={random numbers}&y=1
• http://jacksonville.speedtest.comcast.net/speedtest/random750x750.jpg?x={random numbers}&y=1
• http://houston.speedtest.comcast.net/speedtest/random750x750.jpg?x={random numbers}&y=1

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• www.ip-adress.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• projects.{BLOCKED}merytech.com/TealeafTarget.php
• n.abcwd0.seed.{BLOCKED}cureservers.com/TealeafTarget.php
• css.kbaf.{BLOCKED}n.co.uk/TealeafTarget.php

スパイウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• siteadvisor.com
• avgthreatlabs.com
• safeweb.norton.com