BKDR_QBOT.SM

2013年5月25日

解析者: Jaime Benigno Reyes

別名:

Backdoor.Win32.QBot.pez (Kaspersky)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、収集した情報をリモートサイトに送信します。

マルウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

詳細

ファイルサイズ 290,816 bytes

タイプ EXE

メモリ常駐はい

発見日 2013年5月23日

ペイロードシステムセキュリティへの感染活動

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%Application Data%\MICROSOFT\{random1}\{random2}.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\MICROSOFT\{random1}\{random1}.exe
%Application Data%\{random number}.exe

マルウェアは、以下のフォルダを作成します。

%Application Data%\MICROSOFT\{random1}

マルウェアは、実行後、自身を削除します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

{malware name}a
Global\{random}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random3} = "%Application Data%\MICROSOFT\{random1}\{random1}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = "%Application Data%\MICROSOFT\{random1}\{random1}.exe /c %System%\ctfmon.exe"

(註：変更前の上記レジストリ値は、「"%System%\ctfmon.exe"」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

{BLOCKED}tkrich.net
{BLOCKED}carusled.org
{BLOCKED}m.{BLOCKED}v.ua
{BLOCKED}mausj.org
{BLOCKED}nz.net
{BLOCKED}n.org
{BLOCKED}s.{BLOCKED}v.ua

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

ctfmon.exe
dbgview.exe
mirc.exe
msdev.exe
ollydbg.exe

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

.web-access.com
.webcashmgmt.com
/achupload
/cashman/
/cashplus/
/clkccm/
/cmserver/
/corpach/
/ibws/
/payments/ach
/stbcorp/
/wcmpr/
/wcmpw/
/wcmtr/
/wires/
/wiret
access.jpmorgan.com
accessonline.abnamro.com
achbatchlisting
ay.wellsfargo.com
bankeft.com
blilk.com
businessaccess.citibank.citigroup.com
businessbankingcenter.synovus.com
business-eb.ibanking-services.com
businessinternetbanking.synovus.com
businessonline.huntington.com
businessonline.tdbank.com
cashproonline.bankofamerica.com
cbs.firstcitizensonline.com
chsec.wellsfargo.com
cmol.bbt.com
commercial.bnc.ca
commercial.wachovia.com
commercial2.wachovia.com
commercial3.wachovia.com
commercial4.wachovia.com
corporatebanking
cpw-achweb.bankofamerica.com
ctm.53.com
directline4biz.com
directp
each.bremer.com
ebanking-services.com
e-facts.org
e-moneyger.com
express.53.com
firstmeritib.com
firstmeritib.com/defaultcorp.aspx
goldleafach.com
iachwellsprod.wellsfargo.com
ibc.klikbca.com
iris.sovereignbank.com
itreasury.regions.com
itreasurypr.regions.com
jsp/mainWeb.jsp
ktt.key.com
moneymanagergps.com
netconnect.bokf.com
nj00-wcm
ocm.suntrust.com
onlineserv/CM
otm.suntrust.com
paylinks.cunet.org
premierview.membersunited.org
providentnjolb.com
scotiaconnect.scotiabank.com
securentrycorp.amegybank.com
securentrycorp.zionsbank.com
singlepoint.usbank.com
svbconnect.com
tcfexpressbusiness.com
tmcb.zionsbank.com
tmconnectweb
treas-mgt.frostbank.com
treasury.pncbank.com
trz.tranzact.org
tssportal.jpmorgan.com
wc.wachovia.com
wcp.wachovia.com
web-cashplus.com
webexpress.tdbank.com
wellsoffice.wellsfargo.com

マルウェアは、収集した情報をリモートサイトに送信します。

その他

マルウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

.eset
agnitum
ahnlab
arcabit
avast
avg
avira
avp
bit9
bitdefender
castlecops
centralcommand
clamav
clearclouddns
comodo
computerassociates
cpsecure
defender
download.microsoft.
drweb
emsisoft
esafe
etrust
ewido
explabs.
fortinet
f-prot
f-secure
gdata
grisoft
hacksoft
hauri
hautesecure.com
ikarus
jotti
k7computing
kaspersky
malware
mcafee
networkassociates
nod32
norman
norton
panda
pctools
phishtank.com
prevx
quickheal
rising
rootkit
sanasecurity
securecomputing
sophos
spamhaus
spyware
sunbelt
symantec
threatexpert
threatfire
trendmicro
truste.com
update.microsoft.
virus
webroot.
wilderssecurity
windowsupdate

対応方法

対応検索エンジン: 9.300

初回 VSAPI パターンバージョン 9.936.06

初回 VSAPI パターンリリース日 2013年5月23日

VSAPI OPR パターンバージョン 9.937.00

VSAPI OPR パターンリリース日 2013年5月24日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「BKDR_QBOT.SM」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random3} = "%Application Data%\MICROSOFT\{random1}\{random1}.exe"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- From: ctfmon.exe = "%Application Data%\MICROSOFT\{random1}\{random1}.exe /c %System%\ctfmon.exe"
  To: ctfmon.exe = "%System%\ctfmon.exe"

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%Application Data%\MICROSOFT\{random1}

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_QBOT.SM」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください