Trojan.Win32.QAKBOT.DRTH

2022年11月21日

解析者: Jeffrey Francis Bonaobra

別名:

Trojan:Win32/QbotLNK.SA (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 546,816 bytes

タイプ ISO

メモリ常駐なし

発見日 2022年11月18日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%User Temp%\ashenRemitted.exe
{Malware File Path}\gatekeepers\snows.dat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

%System%\cmd.exe /c gatekeepers\disorganized.cmd
%User Temp%\ashenRemitted.exe gatekeepers\snows.dat
%System%\wermgr.exe
net view
cmd /c set
arp -a
ipconfig /all
nslookup -querytype=ALL -timeout=12_ldap._tcp.dc._msdcs.{Workgroup}
nltest /domain_trusts /all_trusts
net share
route print
netstat -nao
net localgroup
qwinsta
whoami /all

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Louofmeuqoooo
{8 random characters} = {hex values}

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Louofmeuqoooo

マルウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}.{BLOCKED}.104.54.213:2222
http://{BLOCKED}.{BLOCKED}.48.150.234:995
http://{BLOCKED}.{BLOCKED}.133.67.116:995
http://{BLOCKED}.{BLOCKED}.141.184.246:995
http://{BLOCKED}.{BLOCKED}.213.183.141:995
http://{BLOCKED}.{BLOCKED}.216.39.119:995
http://{BLOCKED}.{BLOCKED}.176.187.142:995
http://{BLOCKED}.{BLOCKED}.58.124.198:995
http://{BLOCKED}.{BLOCKED}.112.37.112:2222
http://{BLOCKED}.{BLOCKED}.117.139.142:995
http://{BLOCKED}.{BLOCKED}.117.139.242:995
http://{BLOCKED}.{BLOCKED}.112.25.19:2078
http://{BLOCKED}.{BLOCKED}.112.25.19:2222
http://{BLOCKED}.{BLOCKED}.112.25.29:2078
http://{BLOCKED}.{BLOCKED}.112.25.29:2222
http://{BLOCKED}.{BLOCKED}.112.25.39:2222
http://{BLOCKED}.{BLOCKED}.112.25.59:2078
http://{BLOCKED}.{BLOCKED}.112.25.59:2222
http://{BLOCKED}.{BLOCKED}.112.25.69:2222
http://{BLOCKED}.{BLOCKED}.112.25.99:2078
http://{BLOCKED}.{BLOCKED}.112.25.99:2222
http://{BLOCKED}.{BLOCKED}.100.109.130:32101
http://{BLOCKED}.{BLOCKED}.148.124.243:2222
http://{BLOCKED}.{BLOCKED}.206.68.150:2222
http://{BLOCKED}.{BLOCKED}.207.196.66:2222
http://{BLOCKED}.{BLOCKED}.37.174.11:2222
http://{BLOCKED}.{BLOCKED}.1.227.26:995
http://{BLOCKED}.{BLOCKED}.210.121.173:2222
http://{BLOCKED}.{BLOCKED}.223.166.250:32100
http://{BLOCKED}.{BLOCKED}.223.172.129:32100
http://{BLOCKED}.{BLOCKED}.1.251.127:2087
http://{BLOCKED}.{BLOCKED}.134.54.185:2222
http://{BLOCKED}.{BLOCKED}.19.90:2078
http://{BLOCKED}.{BLOCKED}.134.202:995
http://{BLOCKED}.{BLOCKED}.196.18:995
http://{BLOCKED}.{BLOCKED}.196.28:995
http://{BLOCKED}.{BLOCKED}.179.188:2222
http://{BLOCKED}.{BLOCKED}.169.132:995
http://{BLOCKED}.{BLOCKED}.36.226:2087
http://{BLOCKED}.{BLOCKED}.241.187:995
http://{BLOCKED}.{BLOCKED}.123.127:995
http://{BLOCKED}.{BLOCKED}.112.158:2222
http://{BLOCKED}.{BLOCKED}.112.168:2222
http://{BLOCKED}.{BLOCKED}.112.748:2222
http://{BLOCKED}.{BLOCKED}.21.70:995
http://{BLOCKED}.{BLOCKED}.191.112:2222
http://{BLOCKED}.{BLOCKED}.191.152:2222
http://{BLOCKED}.{BLOCKED}.191.162:2222
http://{BLOCKED}.{BLOCKED}.191.192:2222
http://{BLOCKED}.{BLOCKED}.191.202:2222
http://{BLOCKED}.{BLOCKED}.191.212:2222
http://{BLOCKED}.{BLOCKED}.191.312:2222
http://{BLOCKED}.{BLOCKED}.191.422:2222
http://{BLOCKED}.{BLOCKED}.191.472:2222
http://{BLOCKED}.{BLOCKED}.191.482:2222
http://{BLOCKED}.{BLOCKED}.191.632:2222
http://{BLOCKED}.{BLOCKED}.191.742:2222
http://{BLOCKED}.{BLOCKED}.191.782:2222
http://{BLOCKED}.{BLOCKED}.191.792:2222
http://{BLOCKED}.{BLOCKED}.139.145:995
http://{BLOCKED}.{BLOCKED}.139.215:995
http://{BLOCKED}.{BLOCKED}.139.245:995
http://{BLOCKED}.{BLOCKED}.236.205:2222
http://{BLOCKED}.{BLOCKED}.107.133:995
http://{BLOCKED}.{BLOCKED}.107.603:995
http://{BLOCKED}.{BLOCKED}.139.148:2222
http://{BLOCKED}.{BLOCKED}.142.214:2222
http://{BLOCKED}.{BLOCKED}.161.18:2222
http://{BLOCKED}.{BLOCKED}.161.78:2222
http://{BLOCKED}.{BLOCKED}.243.113:50000
http://{BLOCKED}.{BLOCKED}.243.113:995
http://{BLOCKED}.{BLOCKED}.243.243:50000
http://{BLOCKED}.{BLOCKED}.233.194:995
http://{BLOCKED}.{BLOCKED}.233.664:995
http://{BLOCKED}.{BLOCKED}.233.914:995
http://{BLOCKED}.{BLOCKED}.233.994:995
http://{BLOCKED}.{BLOCKED}.118.79:995
http://{BLOCKED}.{BLOCKED}.43.145:2222
http://{BLOCKED}.{BLOCKED}.143.144:2222
http://{BLOCKED}.{BLOCKED}.143.154:2222
http://{BLOCKED}.{BLOCKED}.143.204:2222
http://{BLOCKED}.{BLOCKED}.143.224:2222
http://{BLOCKED}.{BLOCKED}.143.424:2222
http://{BLOCKED}.{BLOCKED}.251.173:2222
http://{BLOCKED}.{BLOCKED}.1.12:2222
http://{BLOCKED}.{BLOCKED}.1.22:2222
http://{BLOCKED}.{BLOCKED}.156.150:50000
http://{BLOCKED}.{BLOCKED}.109.4:2222
http://{BLOCKED}.{BLOCKED}.169.191:2222
http://{BLOCKED}.{BLOCKED}.204.18:2078
http://{BLOCKED}.{BLOCKED}.204.98:2078
http://{BLOCKED}.{BLOCKED}.109.177:995
http://{BLOCKED}.{BLOCKED}.28.34:995
https://{BLOCKED}.{BLOCKED}.160.115
https://{BLOCKED}.{BLOCKED}.156.248
https://{BLOCKED}.{BLOCKED}.240.236
https://{BLOCKED}.{BLOCKED}.120.163
https://{BLOCKED}.{BLOCKED}.120.163/t5
https://{BLOCKED}.{BLOCKED}.120.183
https://{BLOCKED}.{BLOCKED}.120.233
https://{BLOCKED}.{BLOCKED}.120.903
https://{BLOCKED}.{BLOCKED}.18.210
https://{BLOCKED}.{BLOCKED}.177.5
https://{BLOCKED}.{BLOCKED}.23.234
https://{BLOCKED}.{BLOCKED}.157.144
https://{BLOCKED}.{BLOCKED}.157.184
https://{BLOCKED}.{BLOCKED}.157.184/t5
https://{BLOCKED}.{BLOCKED}.139.142:995/t5
https://{BLOCKED}.{BLOCKED}.25.29:2078/t5
https://{BLOCKED}.{BLOCKED}.25.29:2222/t5
https://{BLOCKED}.{BLOCKED}.209.5
https://{BLOCKED}.{BLOCKED}.209.5/t5
https://{BLOCKED}.{BLOCKED}.3.126
https://{BLOCKED}.{BLOCKED}.91.19
https://{BLOCKED}.{BLOCKED}.91.29
https://{BLOCKED}.{BLOCKED}.91.39
https://{BLOCKED}.{BLOCKED}.91.69
https://{BLOCKED}.{BLOCKED}.91.69/t5
https://{BLOCKED}.{BLOCKED}.91.99
https://{BLOCKED}.{BLOCKED}.67.44
https://{BLOCKED}.{BLOCKED}.140.43
https://{BLOCKED}.{BLOCKED}.194.169
https://{BLOCKED}.{BLOCKED}.61.177
https://{BLOCKED}.{BLOCKED}.11.218
https://{BLOCKED}.{BLOCKED}.248.136
https://{BLOCKED}.{BLOCKED}.173.15
https://{BLOCKED}.{BLOCKED}.173.25
https://{BLOCKED}.{BLOCKED}.173.55
https://{BLOCKED}.{BLOCKED}.173.55/t5
https://{BLOCKED}.{BLOCKED}.51.44
https://{BLOCKED}.{BLOCKED}.213.13
https://{BLOCKED}.{BLOCKED}.213.13/t5
https://{BLOCKED}.{BLOCKED}.120.40
https://{BLOCKED}.{BLOCKED}.134.218
https://{BLOCKED}.{BLOCKED}.103.6
https://{BLOCKED}.{BLOCKED}.233.40
https://{BLOCKED}.{BLOCKED}.45.121
https://{BLOCKED}.{BLOCKED}.45.121/t5
https://{BLOCKED}.{BLOCKED}.45.521
https://{BLOCKED}.{BLOCKED}.111.153
https://{BLOCKED}.{BLOCKED}.220.167
https://{BLOCKED}.{BLOCKED}.7.115
https://{BLOCKED}.{BLOCKED}.227.31
https://{BLOCKED}.{BLOCKED}.227.31/t5
https://{BLOCKED}.{BLOCKED}.227.61
https://{BLOCKED}.{BLOCKED}.77.84
https://{BLOCKED}.{BLOCKED}.17.38
https://{BLOCKED}.{BLOCKED}.136.196
https://{BLOCKED}.{BLOCKED}.196.18:995/t5
https://{BLOCKED}.{BLOCKED}.183.19
https://{BLOCKED}.{BLOCKED}.183.29
https://{BLOCKED}.{BLOCKED}.183.39
https://{BLOCKED}.{BLOCKED}.183.39/t5
https://{BLOCKED}.{BLOCKED}.249.28
https://{BLOCKED}.{BLOCKED}.158.37
https://{BLOCKED}.{BLOCKED}.97.45
https://{BLOCKED}.{BLOCKED}.109.183
https://{BLOCKED}.{BLOCKED}.229.4
https://{BLOCKED}.{BLOCKED}.141.17
https://{BLOCKED}.{BLOCKED}.141.97
https://{BLOCKED}.{BLOCKED}.141.97/t5
https://{BLOCKED}.{BLOCKED}.96.10
https://{BLOCKED}.{BLOCKED}.96.20
https://{BLOCKED}.{BLOCKED}.96.30
https://{BLOCKED}.{BLOCKED}.96.60
https://{BLOCKED}.{BLOCKED}.96.60/t5
https://{BLOCKED}.{BLOCKED}.96.90
https://{BLOCKED}.{BLOCKED}.112.158:2222/t5
https://{BLOCKED}.{BLOCKED}.248.215
https://{BLOCKED}.{BLOCKED}.148.27
https://{BLOCKED}.{BLOCKED}.148.47
https://{BLOCKED}.{BLOCKED}.148.67
https://{BLOCKED}.{BLOCKED}.148.87
https://{BLOCKED}.{BLOCKED}.148.87/t5
https://{BLOCKED}.{BLOCKED}.191.212:2222/t5
https://{BLOCKED}.{BLOCKED}.139.145:995/t5
https://{BLOCKED}.{BLOCKED}.107.133:995/t5
https://{BLOCKED}.{BLOCKED}.147.145
https://{BLOCKED}.{BLOCKED}.147.145/t5
https://{BLOCKED}.{BLOCKED}.147.685
https://{BLOCKED}.{BLOCKED}.199.70
https://{BLOCKED}.{BLOCKED}.47.179
https://{BLOCKED}.{BLOCKED}.214.23
https://{BLOCKED}.{BLOCKED}.109.104
https://{BLOCKED}.{BLOCKED}.109.104/t5
https://{BLOCKED}.{BLOCKED}.109.134
https://{BLOCKED}.{BLOCKED}.109.174
https://{BLOCKED}.{BLOCKED}.109.184
https://{BLOCKED}.{BLOCKED}.109.244
https://{BLOCKED}.{BLOCKED}.109.274
https://{BLOCKED}.{BLOCKED}8.245.71
https://{BLOCKED}.{BLOCKED}.10.29
https://{BLOCKED}.{BLOCKED}.10.79
https://{BLOCKED}.{BLOCKED}.10.79/t5
https://{BLOCKED}.{BLOCKED}.176.108
https://{BLOCKED}.{BLOCKED}.176.128
https://{BLOCKED}.{BLOCKED}.176.138
https://{BLOCKED}.{BLOCKED}.176.158
https://{BLOCKED}.{BLOCKED}.176.218
https://{BLOCKED}.{BLOCKED}.176.218/t5
https://{BLOCKED}.{BLOCKED}.176.388
https://{BLOCKED}.{BLOCKED}.176.928
https://{BLOCKED}.{BLOCKED}.148.51
https://{BLOCKED}.{BLOCKED}.148.51/t5
https://{BLOCKED}.{BLOCKED}.161.78:2222/t5
https://{BLOCKED}.{BLOCKED}.243.113:50000/t5
https://{BLOCKED}.{BLOCKED}.233.194:995/t5
https://{BLOCKED}.{BLOCKED}.234.68
https://{BLOCKED}.{BLOCKED}.187.164
https://{BLOCKED}.{BLOCKED}.134.132
https://{BLOCKED}.{BLOCKED}.135.247
https://{BLOCKED}.{BLOCKED}.143.154:2222/t5
https://{BLOCKED}.{BLOCKED}.49.170
https://{BLOCKED}.{BLOCKED}.192.136
https://{BLOCKED}.{BLOCKED}.180.24
https://{BLOCKED}.{BLOCKED}.180.94
https://{BLOCKED}.{BLOCKED}.180.94/t5
https://{BLOCKED}.{BLOCKED}.61.22:2222/t5
https://{BLOCKED}.{BLOCKED}.204.18:2078/t5
https://{BLOCKED}.{BLOCKED}.133.150
https://{BLOCKED}.{BLOCKED}.70.36
https://{BLOCKED}.{BLOCKED}.70.36/t5
https://{BLOCKED}.{BLOCKED}.70.96
https://{BLOCKED}.{BLOCKED}.227.79
https://{BLOCKED}.{BLOCKED}.115.120
https://{BLOCKED}.{BLOCKED}.115.150
https://{BLOCKED}.{BLOCKED}.115.160
https://{BLOCKED}.{BLOCKED}.115.160/t5
https://{BLOCKED}.{BLOCKED}.115.200
https://{BLOCKED}.{BLOCKED}.115.210
https://{BLOCKED}.{BLOCKED}.115.320
https://{BLOCKED}.{BLOCKED}.115.900
https://{BLOCKED}oadcom.com
https://{BLOCKED}sco.com
https://{BLOCKED}ogle.com
https://{BLOCKED}s.gov
https://{BLOCKED}nkedin.com
https://{BLOCKED}crosoft.com
https://{BLOCKED}acle.com
https://www.{BLOCKED}o.com
https://www.{BLOCKED}o.com/?p=us
https://www.{BLOCKED}o.com
https://{BLOCKED}risign.com
https://www.{BLOCKED}m.com
https://www.{BLOCKED}o.com
https://www.{BLOCKED}e.com
https://www.{BLOCKED}s.gov
https://www.{BLOCKED}ft.com
https://www.{BLOCKED}ft.com/en-ph
https://www.{BLOCKED}le.com
https://www.{BLOCKED}le.com/upgrade-browser
https://www.{BLOCKED}ty.com
https://www.{BLOCKED}ty.com/overview
https://www.{BLOCKED}o.com
https://{BLOCKED}y.com
https://{BLOCKED}.com

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 17.944.05

初回 VSAPI パターンリリース日 2022年11月18日

VSAPI OPR パターンバージョン 17.945.00

VSAPI OPR パターンリリース日 2022年11月19日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Louofmeuqoooo
- {8 random characters} = {hex values}

手順 4

このレジストリキーを削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Louofmeuqoooo

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Temp%\ashenRemitted.exe
{Malware File Path}\gatekeepers\snows.dat

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.QAKBOT.DRTH」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください