WORM_QBOT.JOE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• Application Data\Microsoft\{random folder name}\{random file name}.exe

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\{random folder}\{random file name}.dll - encrypted configuration file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\{random folder}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {malware file name}{random character}

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe
• iexplore.exe
• outlook.exe
• firefox.exe
• opera.exe
• skype.exe
• msnmsgr.exe
• yahoomessenger.exe
• msmsgs.exe
• wscntfy.exe
• wuauclt.exe
• aim.exe
• svchost.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random name}
Imagepath = "%Application Data%\Microsoft\{random folder name}\{random file name}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%Application Data%\Microsoft\{random folder name}\{random file name}.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute component files
• Download configuration and updates
• Download updated copy of itself
• Uninstall itself
• Kill processes
• Upload files containing stolen information

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}uskmt.pw
• {BLOCKED}heusas.org
• {BLOCKED}masn.net
• {BLOCKED}kdfasjdmtf.org
• {BLOCKED}sgrn.com
• {BLOCKED}maksjdo.net
• {BLOCKED}qmi.net
• {BLOCKED}kyat.org
• {BLOCKED}atdfsaf.net
• {BLOCKED}eyaihudmn.org
• {BLOCKED}kahdmansgip.org
• {BLOCKED}dnaetra.net
• http://{BLOCKED}iyiqxyffdaxljkehn.com/cVTInR2m.php
• http://{BLOCKED}wwrhozt.org/k3EIDaG7sWrR2Vpp.php
• http://{BLOCKED}wwrhozt.org/sBOcDLEUMhIws0vH9CjNm9Db.php
• http://{BLOCKED}hzuritgtjlvak.com/k3EIDaG7sWrR2Vpp.php
• http://{BLOCKED}hzuritgtjlvak.com/sBOcDLEUMhIws0vH9CjNm9Db.php
• http://{BLOCKED}mifoljkfprgfs.net/sBOcDLEUMhIws0vH9CjNm9Db.php
• http://{BLOCKED}xrv.com/cVTInR2m.php
• http://{BLOCKED}qvayz.org/k3EIDaG7sWrR2Vpp.php
• http://{BLOCKED}qvayz.org/sBOcDLEUMhIws0vH9CjNm9Db.php
• http://{BLOCKED}dzlkvkzfpqsyxxhxrq.net/k3EIDaG7swWrR2Vpp.php
• http://{BLOCKED}kvkzfpqsyxxhxrq.net/sBOcDLEUMhIws0vH9CjNm9Db.php

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• {random}_{random}.kcb

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• www.ip-adress.com

マルウェアは、実行後、自身を削除します。