TSPY_QBOT.L

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

スパイウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。 スパイウェアは、ダウンロードしたファイルを実行します。 スパイウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。 スパイウェアは、収集した情報をリモートサイトに送信します。

侵入方法

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\qgewcjtlz\q1.{random number}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\qgewcjtlz

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ccApp.exe
• cmd.exe
• ctfmon.exe
• dbgview.exe
• far.exe
• mirc.exe
• mmc.exe
• msdev.exe
• nc.exe
• ollydbg.exe
• outlook.exe
• photoed
• R&Q.exe
• skype

ダウンロード活動

スパイウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• aaveimi - detected as TROJ_BAMITAL.AQ
• qgewcjtlz.exe - detected as TROJ_BAMITAL.AQ
• qgewcjtl.dll - contains encrypted data
• qgewcjtlz.dl - detected as TSPY_QBOT.N
• qgewcjtlzyw.dll - detected as TSPY_QBOT.N
• qgewcjtlzxn.exe - detected as TROJ_BAMITAL.AQ
• xujqa2y - contains encrypted data

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}rver.com.ua/cgi-bin/ss.pl
• http://{BLOCKED}rver.com.ua/cgi-bin/exhandler4.pl
• http://{BLOCKED}owthewhistle.com/cgi-bin/clientinfo3.pl
• http://{BLOCKED}6.in/cgi-bin/jl/jloader.pl
• http://{BLOCKED}2.cn/cgi-bin/jl/jloader.pl

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• alias__qbotnti.exe
• alias__qbotinj.exe
• alias__qbot.cb
• _qbotinj.exe
• _qbotnti.exe
• q3.dll
• _qbot.dll
• alias__qbot.dll
• crontab.cb
• /u/updates98.cb
• alias_updates.cb
• /u/updates.cb
• updates1.cb
• updates*_new.cb

スパイウェアは、ダウンロードしたファイルを実行します。

スパイウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• singlepoint.usbank.com
• netconnect.bokf.com
• business-eb.ibanking-services.com
• cashproonline.bankofamerica.com
• /cashplus/
• ebanking-services.com
• /cashman/
• web-cashplus.com
• treas-mgt.frostbank.com
• business-eb.ibanking-services.com
• treasury.pncbank.com
• access.jpmorgan.com
• ktt.key.com
• onlineserv/CM
• premierview.membersunited.org
• directline4biz.com
• onb.webcashmgmt.com
• tmconnectweb
• moneymanagergps.com
• ibc.klikbca.com
• directpay.wellsfargo.com
• express.53.com
• itreasury.regions.com
• itreasurypr.regions.com
• cpw-achweb.bankofamerica.com
• businessaccess.citibank.citigroup.com
• businessonline.huntington.com

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• ext_ip
• dnsname
• hostname
• country
• state
• city
• user
• domain
• is_admin
• os
• time
• qbot_version

スパイウェアは、収集した情報をリモートサイトに送信します。