TSPY_QBSTEAL.B

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ダウンロードしたファイルを実行します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Oracle\JavaUpdate.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• explorer.exe
• cmd.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• QuBank-2016

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java Updater = "rundll32.exe shell32.dll, ShellExec_RunDLL %Application Data%\Oracle\JavaUpdate.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Java Updater = "rundll32.exe shell32.dll, ShellExec_RunDLL %Application Data%\Oracle\JavaUpdate.exe"

他のシステム変更

スパイウェアは、以下のファイルを改変します。

• {firefox path}\prefs.js

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• www.{BLOCKED}sgetexposed.online/Sqlite3.dll
• www.{BLOCKED}sgetexposed.online/SocksModule.BIN
• http://www.{BLOCKED}shop.club/SocksModule.BIN
• http://www.{BLOCKED}shop.club/JoinMe.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Oracle\Sqlite3.BIN
• %Application Data%\Oracle\JoinMe\JoinMe.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、ダウンロードしたファイルを実行します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Chrome login credentials
  • username
  • password
  • site
• Firefox login credentials
  • username
  • password
  • site
• username
• os version
• bot access
• installed AV

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}s.strangled.netSendDataGrabbed=