WORM_QAKBOT.JEE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータから特定の情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\Microsoft\{random folder}\{random name}.dll

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\Microsoft\{random folder}\{random name}.exe

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\Microsoft\{random folder}

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {malware file name}a
• {random string}

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• msdev.exe
• dbgview.exe
• mirc.exe
• ollydbg.exe
• ctfmon.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random name}
Imagepath = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random name}
DisplayName = "Remote Procedure Call (RPC) Service"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe /c {path and file name of legitimate application}"

(註：変更前の上記レジストリ値は、「{path and file name of legitimate application}」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute component files
• Download configuration and updates
• Download updated copy of itself
• Uninstall itself
• Kill processes
• Upload files containing stolen information
• Perform FTP functionalities

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}s.{BLOCKED}ev.ua
• {BLOCKED}m.{BLOCKED}v.ua
• {BLOCKED}n.org
• {BLOCKED}nz.net
• {BLOCKED}mausj.org
• {BLOCKED}tkrich.net
• {BLOCKED}carusled.org

情報漏えい

マルウェアは、感染コンピュータから以下の情報を収集します。

• GeoIP locations
• Browser cookies
• Flash cookies
• Network information
• System information
• FTP, POP3, IMAP, SMTP, HTTPMail, NNTP Passwords
• Outlook login credentials
• Private keys from system certificates
• Login credentials for certain websites
• Internet sessions

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.239.145:8080

マルウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• explabs.
• sanasecurity
• phishtank.com
• hautesecure.com
• truste.com
• clearclouddns
• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• threatfire
• trendmicro
• virus
• wilderssecurity
• windowsupdate
• update.microsoft.
• download.microsoft.