TrojanSpy.Win32.QAKBOT.YXDELZ

2023年6月14日

解析者: Raymart Christian Yambot

別名:

UDS:Trojan-Banker.Win32.Qbot.ajcy (KASPERSKY), Trojan:Win32/Qakbot.MF!MTB (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

詳細

ファイルサイズ 428,668 bytes

タイプ DLL

メモリ常駐はい

発見日 2023年5月15日

ペイロード URLまたはIPアドレスに接続, システムのレジストリの変更, ファイルの作成, 情報収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

{Malware File Path}\{Random}.dll

スパイウェアは、以下のプロセスを追加します。

Depending on the number of AV products that was found to be running in the system and the machine architecture it would choose from the following:
- %System%\AtBroker.exe
- %System%\wermgr.exe
- %System%\dxdiag.exe
- %System%\backgroundTaskHost.exe
ping -n 3 yahoo.com
whoami /all
cmd /c set
arp -a
ipconfig /all
net view /all
nslookup -querytype=ALL -timeout=10 _ldap._tcp.dc._msdcs.WORKGROUP
nltest /domain_trusts /all_trusts
net share
route print
netstat -nao
net localgroup
qwinsta

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

Global\{Random}

スパイウェアは、以下のプロセスにコードを組み込みます。

Depending on the number of AV products that was found to be running in the system and the machine architecture it would choose from the following:
- %System%\AtBroker.exe
- %System%\wermgr.exe
- %System%\dxdiag.exe
- %System%\backgroundTaskHost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = rundll32.exe {Malware full path and name}.dll,print

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{Random}
{8 random characters} = {hex values}

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

Update Self
Update Configuration
Download and Install Plugins
Terminate Processes
Drop Files
Drop Files and Run

情報漏えい

スパイウェアは、以下の情報を収集します。

Computer Name
Username
IP address
Operating System Information
Processor Information
Installed Antivirus Products
Running Processes

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}.{BLOCKED}.{BLOCKED}.218:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.178:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.146:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.86:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.20:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.95:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.183:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.195:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.37:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.102:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.242:993/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:20/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.150:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.197:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:2083/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.50:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.5:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.86:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.150:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.124:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.39:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.245:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.16:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.236:2078/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.164:50000/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.157:2078/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.107:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.38:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.194:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.133:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.55:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.99:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.118:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.87:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.125:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.109:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.105:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.115:50000/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.153:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.2:2083/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.38:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.2:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.161:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.170:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.26:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.21:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.17:2078/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.201:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.170:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.2:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:465/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.149:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.221:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.76:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.14:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.231:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:1194/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.159:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.232:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.138:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.174:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.6:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.134:445/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.102:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.125:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.31:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.148:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.89:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.235:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.4:50000/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.150:50000/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.19:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.238:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.170:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.210:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.30:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.208:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.90:2078/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:32100/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.27:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:21/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:2087/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.107:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.71:993/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:32101/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.179:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:3389/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.130:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.94:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.251:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.86:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.159:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.204:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.248:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.133:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.149:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.169:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.6:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.39:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.71:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.32:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.187:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.251:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.82:993/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.71:995/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.71:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.26:2083/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.220:2222/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.107:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.41:443/t5
http://{BLOCKED}.{BLOCKED}.{BLOCKED}.223:2222/t5

その他

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{Random}

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

linkedin.com
xfinity.com
yahoo.com
broadcom.com
verisign.com
oracle.com
cisco.com
google.com
microsoft.com
irs.gov
ctldl.windowsupdate.com

スパイウェアは、以下のプロセスの存在を確認します。

frida-winjector-helper-32.exe
frida-winjector-helper-64.exe
tcpdump.exe
windump.exe
ethereal.exe
wireshark.exe
ettercap.exe
rtsniff.exe
packetcapture.exe
capturenet.exe
qak-proxy
dumpcap.exe
CFF Explorer.exe
not_rundll23.exe
ProcessHacker.exe
tcpview.exe
filemon.exe
procmon.exe
idaq64.exe
loaddll32.exe
PETools.exe
ImportREC.exe
LordPE.exe
Inspector.exe
proc_analyzer.exe
sysAnaylzer.exe
sniff_hit.exe
joeboxcontrol.exe
joeboxserver.exe
ResourceHacker.exe
x64dbg.exe
Fiddler.exe

スパイウェアは、以下を実行します。

It checks the presence of the following Anti-Virus and Security Applications:
- ccSvcHst.exe
- NortonSecurity.exe
- nsWscSvc.exe
- avgcsrvx.exe
- avgcsvcx.exe
- avgcsrva.exe
- MsMpEng.exe
- mcshield.exe
- avp.exe
- kavtray.exe
- egui.exe
- ekrn.exe
- bdagent.exe
- vsserv.exe
- vsservppl.exe
- AvastSvc.exe
- aswEngSrv.exe
- aswToolsSvc.exe
- afwServ.exe
- aswidsagent.exe
- AvastUI.exe
- coreServiceShell.exe
- PccNTMon.exe
- NTRTScan.exe
- SophosUI.exe
- SAVAdminService.exe
- SavService.exe
- fshoster32.exe
- WRSA.exe
- vkise.exe
- isesrv.exe
- cmdagent.exe
- Bytefence.exe
- MBAMService.exe
- mbamgui.exe
- fmon.exe
- dwengine.exe
- dwarkdaemon.exe
- dwwatcher.exe
- SentinelServiceHost.exe
- SentinelStaticEngine.exe
- SentinelAgent.exe
- SentinelStaticEngineScanner.exe
- SentinelUI.exe
- SonicWallClientProtectionService.exe
- CynetEPS.exe
- CynetMS.exe
- CynetConsole.exe
- CSFalconService.exe
- CSFalconContainer.exe
- RepUx.exe
- CrAmTray.exe
- csc_ui.exe
- xagtnotif.exe
- AppUIMonitor.exe
It establishes its persistence with the following routine:
- It will only create its autostart registry entry if it detects that the system it is running on is about to restart or shutdown.
- When the system it is running on boots again, it would proceed to inject itself again to its target process and delete the autostart registry entry
It stores its encrypted configuration in the registry key that it creates.
It attempts to create a pipe for communication.

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 18.439.00

初回 VSAPI パターンリリース日 2023年5月11日

VSAPI OPR パターンバージョン 18.440.00

VSAPI OPR パターンリリース日 2023年5月12日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

• Windows 10 の場合：

キーボードの「Windowsロゴ」キーおよび「（アルファベットの）i」キーを押して「設定」を開きます。これで開かない場合は「スタート」ボタンをクリックして「設定」を選択します。
「更新とセキュリティ」→「回復」を選択します。
「詳細起動」下にある「今すぐ再起動」を選択します。
再起動後、「オプションの選択」画面で「トラブルシューティング」→「詳細オプション」→「スタートアップ設定」→「再起動」を選択します。
再起動後、「オプションを選択するには、番号を押してください」が表示されます。「4)」を選択するか「F4」キーを押して、セーフモードで起動します。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

{Malware File Path}\{Random}.dll

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Random} = rundll32.exe {Malware full path and name}.dll,print

手順 6

このレジストリキーを削除します。

[ 詳細 ]

HKEY_CURRENT_USER\Software\Microsoft\{Random}

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.QAKBOT.YXDELZ」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください