BKDR_QAKBOT.LOI

2013年3月6日

解析者: Michael Cabel

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、Ｅメールアカウント情報を収集します。マルウェアは、収集した情報をリモートサイトに送信します。

マルウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

詳細

ファイルサイズ 266,240 bytes

タイプ EXE

メモリ常駐なし

発見日 2013年3月5日

ペイロードシステムセキュリティへの感染活動, プロセスの強制終了, URLまたはIPアドレスに接続, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

{BLOCKED}s.kiev.ua
{BLOCKED}m.kiev.ua
{BLOCKED}n.org
{BLOCKED}nz.net
{BLOCKED}ausj.org
{BLOCKED}tkrich.net
{BLOCKED}carusled.org

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

msdev.exe
dbgview.exe
mirc.exe
ollydbg.exe
ctfmon.exe

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

/achupload
/cmserver/
/corpach/
/ibws/
/payments/ach
/stbcorp/
/wcmpr/
/wcmpw/
/wcmtr/
/wiret
achbatchlisting
businessaccess.citibank.citigroup.com
businessonline.huntington.com
businessonline.tdbank.com
cbs.firstcitizensonline.com
chsec.wellsfargo.com
commercial.wachovia.com
commercial2.wachovia.com
commercial3.wachovia.com
commercial4.wachovia.com
cpw-achweb.bankofamerica.com
goldleafach.com
iachwellsprod.wellsfargo.com
ns.com
scotiaconnect.scotiabank.com
tcfexpressbusiness.com
trz.tranzact.org
ub-businessonline.blilk.com
wc.wachovia.com
wcp.wachovia.com
webexpress.tdbank.com
wellsoffice.wellsfargo.com

マルウェアは、Ｅメールアカウント情報を収集します。

マルウェアは、収集した情報をリモートサイトに送信します。

その他

マルウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

explabs.
sanasecurity
phishtank.com
hautesecure.com
truste.com
clearclouddns
webroot.
agnitum
ahnlab
arcabit
avast
avg
avira
avp
bitdefender
bit9
castlecops
centralcommand
clamav
comodo
computerassociates
cpsecure
defender
drweb
emsisoft
esafe
.eset
etrust
ewido
fortinet
f-prot
f-secure
gdata
grisoft
hacksoft
hauri
ikarus
jotti
k7computing
kaspersky
malware
mcafee
networkassociates
nod32
norman
norton
panda
pctools
prevx
quickheal
rising
rootkit
securecomputing
sophos
spamhaus
spyware
sunbelt
symantec
threatexpert
threatfire
trendmicro
virus
wilderssecurity
windowsupdate
update.microsoft.
download.microsoft.

対応方法

対応検索エンジン: 9.300

初回 VSAPI パターンバージョン 9.768.02

初回 VSAPI パターンリリース日 2013年3月5日

VSAPI OPR パターンバージョン 9.769.00

VSAPI OPR パターンリリース日 2013年3月6日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_QAKBOT.LOI 」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください