WORM_QBOT.BUD

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ネットワークドライブ内に自身のコピーを作成します。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ワームは、感染コンピュータから特定の情報を収集します。

ワームは、特定のファイルを監視します。 ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 1a{host name}

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• IEXPLORE.EXE
• EXPLORER.EXE

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe" /c {path and file name of legitimate application}"

(註：変更前の上記レジストリ値は、「{path and file name of legitimate application}」となります。)

感染活動

ワームは、ネットワークドライブ内に自身のコピーを作成します。

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

作成活動

ワームは、以下のファイルを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename1}.dll - detected as TROJ_QAKLOG.SM
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename2}.dll - detected as Mal_Qakcfg1 (encrypted coinfiguration file)
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.dll - also detected as WORM_QBOT.BUD (dll component)

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ダウンロード活動

ワームは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• {BLOCKED}.co.in
• {BLOCKED}.in
• {BLOCKED}ver.com.ua
• {BLOCKED}om.ua

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• Reference to the components and their corresponding random filenames in the system
• IRC data
• FTP hosts (upload sites)
• Infection log

[Malware]は、以下のパラメータを受け取ります。

• /i - drop the dll and config file to current directory
• /s - start service
• /t - terminate any process with a similar filename

ワームは、感染コンピュータから以下の情報を収集します。

• Account name
• Browsing activities
• Certificates
• City
• Cookies
• Country
• IE password protected sites
• IE user namesand passwords
• IP address
• MSN user name and password
• Operating system
• Outlook user name and password
• Public Storage - SMTP, POP3, LDAP
• System Information

[Malware]は、環境設定ファイルに記述されている認証情報を用い、収集した情報を以下のWebサイトへ送信します。

• {BLOCKED}.{BLOCKED}.134.75
• ftp.{BLOCKED}formation.com
• ftp.{BLOCKED}central.com
• s046.{BLOCKED}xmanager.com

その他

ワームは、以下のファイルを監視します。

• chrome.exe
• firefox.exe
• iexplore.exe
• msmsgs.exe
• msnmsgr.exe
• opera.exe
• outlook.exe
• skype.exe
• yahoomessenger.exe

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• .eset
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bit9
• bitdefender
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• etrust
• ewido
• f-prot
• f-secure
• fortinet
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• trendmicro
• virus
• webroot.
• wilderssecurity
• windowsupdate