TROJ_QBOT.DA

2012年10月9日

解析者: Sabrina Lei Sioting

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、自身のコピーがWindows起動時に自動実行されるようレジストリ値を追加します。

マルウェアは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。マルウェアは、実行後、自身を削除します。

詳細

ファイルサイズ 209,032 bytes

タイプ EXE

発見日 2012年6月8日

ペイロード情報収集, プロセスの強制終了

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

%User Profile%\Application Data\Microsoft\{Random}

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe

マルウェアは、以下の不正なファイルまたはコンポーネントを追加します。

%User Profile%\APPLICATION DATA\MICROSOFT\{Random}\{Random}.dll

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

explorer.exe
iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe" /c %System%\ctfmon.exe"

(註：変更前の上記レジストリ値は、「"%System%\ctfmon.exe"」となります。)

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

%User Startup%\{Random}.lnk

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

msdev.exe
dbgview.exe
mirc.exe
ollydbg.exe
ctfmon.exe

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

.webcashmgmt.com;
/achupload
/achupload;
/cashman/;
/cashplus/;
/cmserver/
/cmserver/;
/corpach/
/corpach/;
/payments/ach
/payments/ach;
/stbcorp/
/stbcorp/;
/wcmpr/
/wcmpr/;
/wcmpw/
/wcmpw/;
/wcmtr/
/wcmtr/;
/wires/;
/wiret
/wiret;
abnamro.nl;
access.jpmorgan.com;
accessonline.abnamro.com;
achbatchlisting
achbatchlisting;
business-eb.ibanking-services.com;
businessaccess.citibank.citigroup.com;
businessbankingcenter.synovus.com;
businessinternetbanking.synovus.com;
businessonline.huntington.com
businessonline.huntington.com;
businessonline.tdbank.com
businessonline.tdbank.com;
cashproonline.bankofamerica.com;
cbs.firstcitizensonline.com
cbs.firstcitizensonline.com;
chsec.wellsfargo.com
chsec.wellsfargo.com;
commercial.wachovia.com
commercial.wachovia.com;
commercial2.wachovia.com
commercial2.wachovia.com;
commercial3.wachovia.com
commercial3.wachovia.com;
commercial4.wachovia.com
commercial4.wachovia.com;
corporatebanking;
cpw-achweb.bankofamerica.com;
directline4biz.com;
directpay.wellsfargo.com;
e-facts.org;
e-moneyger.com;
each.bremer.com;
ebanking-services.com;
essaccess.citibank.citigroup.com
express.53.com;
firstmeritib.com/defaultcorp.aspx;
firstmeritib.com;
goldleafach.com
goldleafach.com;
iachwellsprod.wellsfargo.com
iachwellsprod.wellsfargo.com;
ibc.klikbca.com;
iris.sovereignbank.com;
itreasury.regions.com;
itreasurypr.regions.com;
ktt.key.com;
moneymanagergps.com;
netconnect.bokf.com;
ocm.suntrust.com;
onlineserv/CM;
otm.suntrust.com;
paylinks.cunet.org;
premierview.membersunited.org;
providentnjolb.com;
scotiaconnect.scotiabank.com
scotiaconnect.scotiabank.com;
securentrycorp.amegybank.com;
singlepoint.usbank.com;
svbconnect.com;
tcfexpressbusiness.com
tcfexpressbusiness.com
tmconnectweb;
treas-mgt.frostbank.com;
treasury.pncbank.com;
trz.tranzact.org
trz.tranzact.org;
tssportal.jpmorgan.com;
ub-businessonline.blilk.com
ub-businessonline.blilk.com;
wc.wachovia.com
wc.wachovia.com;
wcp.wachovia.com
wcp.wachovia.com;
web-cashplus.com;
webexpress.tdbank.com
webexpress.tdbank.com;
wellsoffice.wellsfargo.com
wellsoffice.wellsfargo.com;

情報収集

マルウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

{BLOCKED}ysgtap.co.in
{BLOCKED}istr.in
{BLOCKED}vtkn.in.ua
{BLOCKED}son.in
{BLOCKED}uytdk.info
{BLOCKED}mentis.org

その他

マルウェアは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

explabs.
sanasecurity
phishtank.com
hautesecure.com
truste.com
clearclouddns
webroot.
agnitum
ahnlab
arcabit
avast
avg
avira
avp
bitdefender
bit9
castlecops
centralcommand
clamav
comodo
computerassociates
cpsecure
defender
drweb
emsisoft
esafe
.eset
etrust
ewido
fortinet
f-prot
f-secure
gdata
grisoft
hacksoft
hauri
ikarus
jotti
k7computing
kaspersky
malware
mcafee
networkassociates
nod32
norman
norton
panda
pctools
prevx
quickheal
rising
rootkit
securecomputing
sophos
spamhaus
spyware
sunbelt
symantec
threatexpert
trendmicro
virus
wilderssecurity
windowsupdate
update.microsoft.
download.microsoft.
download.microsoft.

マルウェアは、実行後、自身を削除します。

対応方法

対応検索エンジン: 9.200

初回 VSAPI パターンバージョン 9.176.06

初回 VSAPI パターンリリース日 2012年6月8日

VSAPI OPR パターンバージョン 9.177.00

VSAPI OPR パターンリリース日 2012年6月8日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TROJ_QBOT.DA」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

不明なレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Random} = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- From: ctfmon.exe = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe" /c %System%\ctfmon.exe"
  To: ctfmon.exe = "%System%\ctfmon.exe"

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]

註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Profile%\Application Data\Microsoft\{random}

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Startup%\{random}.lnk

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_QBOT.DA」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください