TSPY_QAKBOT.SMG

マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

マルウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

• http://postmetoday.ru/exe8k/pump.exe

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.ygy

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• EXPLORER.EXE
• WINLOGON.EXE

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{E2A0BCA9-67BD-5E2A-83A2-54BE8F47D434} = "%Application Data%\{random1}\{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft
{random} =  

情報漏えい

マルウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://lisfiscrisgqwu.com/abauriyfg/beurwygT.img
• http://nasnedofweiggyt.com/UEOI/MWURT.img
• http://pogoaliceadvance.com/qweiyt/amadeo.img

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

マルウェアは、以下のWebサイトを対象とします。

• *EBC_EBC1961/EBC_NEC/RSAEncrypt.js*
• *ebc_ebc1961/EBC_NEC/RSAEncrypt.js*
• http*.53.com*
• http*.53.com*RSAScript.js*
• http*.webcashmanager.com*Login*
• http*.webcashmgmt.com*Login*
• http*/phcp/econnection/login/js/login.htm*
• http*/phcp/servlet*Login*
• http*/wcmfd/*Login*
• *EBC_EBC1961/EBC_NEC/RSAEncrypt.js*
• *ebc_ebc1961/EBC_NEC/RSAEncrypt.js*
• http*.53.com*
• http*.53.com*RSAScript.js*
• http*.webcashmanager.com*Login*
• http*.webcashmgmt.com*Login*
• http*/phcp/econnection/login/js/login.htm*
• http*/phcp/servlet*Login*
• http*/wcmfd/*Login*
• http*/wcmfd/js/LoginCSS.js*
• http*bolb.associatedbank.com*
• http*bolb.associatedbank.com/js/jquery.js*
• http*business-eb.ibanking-services.com*general.js*
• http*business-eb.ibanking-services.com/K1/*login*jsp*
• http*ebanking-services.com/*
• http*ebanking-services.com/AUTH/WebResource.axd*
• http*scripts/injScp.js*
• http*sso.uboc.com/js/ub-common.js*
• http*sso.uboc.com/obc/forms/login.fcc*
• http*treasury.pncbank.com/portal/esec/login.ht*
• http*treasury.pncbank.com/portal/service/js/loginproc.js*
• http://eigach.ru/script.js
• https*/pub/html/login.html*
• https://*.web-access.com*welcome.cgi*
• https://*/cmserver*verify.cfm*
• https://*/onlineserv/CM/*
• https://*/onlineserv/CM/std/js/en/disofactor.js*
• https://*blilk.com/Core/Authentication/MFA*.aspx*
• https://*blilk.com/include/Utils.js*
• https://*cashman*
• https://*Cashman*
• https://*cmserver/include/ui/uiScripts.js*
• https://*login_ui_includes/login_brandScripts.js*
• https://a248.e.akamai.net/6/248/3583/000/wellsoffice.wellsfargo.com/ceoportal/framework/skins/defacore-min.js*
• https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
• https://authmaster.nationalcity.com/tmgmt/js/bharosa_uio.js*
• https://authmaster.nationalcity.com/tmgmt/wslogin.jsp*
• https://businessaccess.citibank.citigroup.com/cbusol/do/htmlserver/js/env.js*
• https://businessaccess.citibank.citigroup.com/cbusol/signon.do*
• https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx*
• https://businessonline.huntington.com/common/scripts/common.js*
• https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx*
• https://businessonline.tdbank.com/CorporateBankingWeb/VAM/2_0_2/VAM.js*
• https://cbs.firstcitizens.com/cb/jsp-ns/inc/auth/fp.js*
• https://cbs.firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
• https://chsec.wellsfargo.com/login/login.fcc*
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspx*
• https://cm.netteller.com/login2008/Scripts/NetTellerCorners.js*
• https://ecash.*
• https://olb.gnty.com/Login/Username.aspx*
• https://premierview.membersunited.org/Core/login.aspx*
• https://premierview.membersunited.org/WebResource.axd*
• https://securentrycorp.*/Authentication/lib.js*
• https://securentrycorp.*/Authentication/zbf/k/*
• https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp*

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Citibank
• Fifth Third
• National City
• PNC
• Union Bank of California
• Wells Fargo

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://pogoaliceadvance.com/agregatr/weiry.php

その他

解析の結果、マルウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 660aae712adc5e1d23d2500a13b4cfd
• 28e2b2498484b93a2dd9896e7f89a0e6
• 3471018cfbd0f17899258e2b62a1dd61
• a86678a1bac1dcb5b0cfd2cf61f259f0
• 067066b17486d73e6f2572eb79b1391c
• ada25b9107cc570a52b7f2b9751e5ab5
• 015f418d4a61986ba043af0c739cdd79
• bd833711e8c494442dbdcfaef3c01824
• 1ccf6e6db7ea161120304e4ec47d2ffe
• cb5dec936040fa66b4b06bd3fd90041c
• 1f853bc79b37e9d2de5650f22d0d5be1
• ef07ada306f7bcb3b686e264611d07a0

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 32f1410fe3080943f346b2592f0d0c8cc2392f69
• d0553363dce4318347af0f16578e2b9ef1bb6f30
• 6f127ef63de73d10655d1b7519a1a79a1df4fb01
• f0e420b27d2c7e5f6ae3310d5396a26ba6210df3
• 6b461c5d6e31e870dd560c8f4ef0cb07bf95d127
• 3fe197b97ec34235584d48e5d4432892ee0ad66f
• 049e07532ab89253a5102ad56e3fdf6c7f30885c
• 2367e43b15189e97d91ace9d43e9649d9f94a711
• 378751adcc5656286ad7fda07e6cdd88795833ea
• db4bac6c6d557d71ab30155c3180c5aff7ebc0f3
• f89494e328ad48fec9ab1a94d6e42168fc99d8b2
• e7167adcce8535cbcd881902b417fa7acd762a27