BKDR_QBOT.DHB

Puede haberlo infiltrado otro malware. Llega como componente integrado en paquetes de malware/grayware/spyware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Se conecta a un sitio Web para enviar y recibir información.

Envía la información que recopila a sitios remotos.

Impide que los usuarios visiten sitios Web asociados a antivirus que contengan cadenas específicas.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Llega como componente integrado en paquetes de malware/grayware/spyware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• iexplore.exe
• outlook.exe
• firefox.exe
• opera.exe
• skype.exe
• msnmsgr.exe
• yahoomessenger.exe
• msmsgs.exe
• wscntfy.exe
• wuauclt.exe

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.239.145:8080
• {BLOCKED}istr.in
• {BLOCKED}vtkn.in.ua
• {BLOCKED}uytdk.info
• {BLOCKED}asudskfoe.org
• {BLOCKED}iakfuuasd.net
• {BLOCKED}s.{BLOCKED}v.ua
• {BLOCKED}m.{BLOCKED}v.ua
• {BLOCKED}n.org
• {BLOCKED}nz.net
• {BLOCKED}mausj.org

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• msdev.exe
• dbgview.exe
• mirc.exe
• ollydbg.exe
• ctfmon.exe

Robo de información

Controla la actividad de Internet Explorer (IE) del sistema afectado, en particular la barra de direcciones. Recrea un sitio Web legítimo con una página de inicio de sesión falsa cuando un usuario visita sitios de banca con las siguientes cadenas en la barra de direcciones y/o barra de título:

• .web-access.com
• .webcashmgmt.com
• /achupload
• /cashman/
• /cashplus/
• /clkccm/
• /cmserver/
• /corpach/
• /ibws/
• /payments/ach
• /stbcorp/
• /wcmpr/
• /wcmpw/
• /wcmtr/
• /wires/
• /wiret
• access.jpmorgan.com
• accessonline.abnamro.com
• achbatchlisting
• business-eb.ibanking-services.com
• businessaccess.citibank.citigroup.com
• businessbankingcenter.synovus.com
• businessinternetbanking.synovus.com
• businessonline.huntington.com
• businessonline.tdbank.com
• cashproonline.bankofamerica.com
• cbs.firstcitizensonline.com
• chsec.wellsfargo.com
• commercial.bnc.ca
• commercial.wachovia.com
• commercial2.wachovia.com
• commercial3.wachovia.com
• commercial4.wachovia.com
• corporatebanking
• cpw-achweb.bankofamerica.com
• directline4biz.com
• directpay.wellsfargo.com
• e-facts.org
• e-moneyger.com
• each.bremer.com
• ebanking-services.com
• express.53.com
• firstmeritib.com
• firstmeritib.com/defaultcorp.aspx
• goldleafach.com
• iachwellsprod.wellsfargo.com
• ibc.klikbca.com
• iris.sovereignbank.com
• itreasury.regions.com
• itreasurypr.regions.com
• jsp/mainWeb.jsp
• ktt.key.com
• moneymanagergps.com
• netconnect.bokf.com
• nj00-wcm
• ocm.suntrust.com
• onlineserv/CM
• otm.suntrust.com
• paylinks.cunet.org
• premierview.membersunited.org
• providentnjolb.com
• scotiaconnect.scotiabank.com
• securentrycorp.amegybank.com
• singlepoint.usbank.com
• svbconnect.com
• tcfexpressbusiness.com
• tmconnectweb
• treas-mgt.frostbank.com
• treasury.pncbank.com
• trz.tranzact.org
• tssportal.jpmorgan.com
• ub-businessonline.blilk.com
• wc.wachovia.com
• wcp.wachovia.com
• web-cashplus.com
• webexpress.tdbank.com
• wellsoffice.wellsfargo.com

Envía la información que recopila a sitios remotos.

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• Connects to a certain IRC server using a certain port and joins a channel where it receives commands from a malicious user. It sends the following information to its C&C server:
  • ext_ip
  • dnsname
  • hostname
  • country
  • state
  • city
  • user
  • domain
  • is_admin
  • os
  • time
  • qbot_version
  • install_time

Impide que los usuarios visiten sitios Web asociados a antivirus que contengan las siguientes cadenas:

• .eset
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bit9
• bitdefender
• castlecops
• centralcommand
• clamav
• clearclouddns
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• etrust
• ewido
• explabs.
• f-prot
• f-secure
• fortinet
• gdata
• grisoft
• hacksoft
• hauri
• hautesecure.com
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mc
• phishtank.com
• sanasecurity
• truste.com
• webroot.