Analizzato da: Sabrina Lei Sioting   

 Piattaforma:

Windows 2000, Windows XP, Windows Server 2003

 Valutazione del rischio complessivo:
 Potenziale dannoso: :
 Potenziale di distribuzione: :
 Reported Infection:
Basso
Medio
Alto
Critico

  • Tipo di minaccia informatica:
    Worm

  • Distruttivo?:
    No

  • Crittografato?:

  • In the wild::

  Panoramica e descrizione

Canale infezione: Se propaga vía redes compartidas, A través de las unidades físicas / extraíble

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Este malware infiltra copias de sí mismo en las unidades de red.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Recopila información específica del sistema afectado.

Supervisa ciertos archivos. Impide que los usuarios visiten sitios Web asociados a antivirus que contengan cadenas específicas.

  Dettagli tecnici

Dimensione file: 331,776 bytes
Tipo di file: EXE
Residente in memoria:
Data di ricezione campioni iniziali: 24 marzo 2011
Carica distruttiva: Drops files, Downloads files, Steals information, Compromises system security

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Crea las carpetas siguientes:

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • 1a{host name}

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

  • IEXPLORE.EXE
  • EXPLORER.EXE

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe" /c {path and file name of legitimate application}"

(Note: The default value data of the said registry entry is {path and file name of legitimate application}.)

Propagación

Este malware infiltra copias de sí mismo en las unidades de red.

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Rutina de infiltración

Infiltra los archivos siguientes:

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename1}.dll - detected as TROJ_QAKLOG.SM
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename2}.dll - detected as Mal_Qakcfg1 (encrypted coinfiguration file)
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.dll - also detected as WORM_QBOT.BUD (dll component)

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Robo de información

Su archivo de configuración contiene la siguiente información:

  • Reference to the components and their corresponding random filenames in the system
  • IRC data
  • FTP hosts (upload sites)
  • Infection log

Acepta los siguientes parámetros:

  • /i - drop the dll and config file to current directory
  • /s - start service
  • /t - terminate any process with a similar filename

Recopila la siguiente información del sistema afectado:

  • Account name
  • Browsing activities
  • Certificates
  • City
  • Cookies
  • Country
  • IE password protected sites
  • IE user namesand passwords
  • IP address
  • MSN user name and password
  • Operating system
  • Outlook user name and password
  • Public Storage - SMTP, POP3, LDAP
  • System Information

Envía la información recopilada a los siguientes sitios Web utilizando las credenciales de su archivo de configuración:

  • {BLOCKED}.{BLOCKED}.134.75
  • ftp.{BLOCKED}formation.com
  • ftp.{BLOCKED}central.com
  • s046.{BLOCKED}xmanager.com

Otros detalles

Supervisa los siguientes archivos:

  • chrome.exe
  • firefox.exe
  • iexplore.exe
  • msmsgs.exe
  • msnmsgr.exe
  • opera.exe
  • outlook.exe
  • skype.exe
  • yahoomessenger.exe

Impide que los usuarios visiten sitios Web asociados a antivirus que contengan las siguientes cadenas:

  • .eset
  • agnitum
  • ahnlab
  • arcabit
  • avast
  • avg
  • avira
  • avp
  • bit9
  • bitdefender
  • castlecops
  • centralcommand
  • clamav
  • comodo
  • computerassociates
  • cpsecure
  • defender
  • drweb
  • emsisoft
  • esafe
  • etrust
  • ewido
  • f-prot
  • f-secure
  • fortinet
  • gdata
  • grisoft
  • hacksoft
  • hauri
  • ikarus
  • jotti
  • k7computing
  • kaspersky
  • malware
  • mcafee
  • networkassociates
  • nod32
  • norman
  • norton
  • panda
  • pctools
  • prevx
  • quickheal
  • rising
  • rootkit
  • securecomputing
  • sophos
  • spamhaus
  • spyware
  • sunbelt
  • symantec
  • threatexpert
  • trendmicro
  • virus
  • webroot.
  • wilderssecurity
  • windowsupdate

  Soluzioni

Motore di scansione minimo: 9.200
Primo file di pattern VSAPI: 7.922.08
Data di pubblicazione del primo pattern VSAPI: 24 marzo 2011
Versione pattern VSAPI OPR: 7.923.00
Data di pubblicazione del pattern VSAPI OPR: 25 marzo 2011

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Elimine los archivos de malware que se han introducido/descargado mediante WORM_QBOT.BUD

    • TROJ_QAKLOG.SM
    • MAL_QAKCFG1

Step 3

Identificar y eliminar los archivos detectados como WORM_QBOT.BUD mediante el disco de inicio o la Consola de recuperación

[ learnMore ]

Step 4

Eliminar la entrada del Registro con un valor de información desconocido LearnHow

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • {random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe&"

Para eliminar la entrada del Registro que este malware ha creado:

  1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
  2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run&&{random characters} = "%System Root%\\Documents and Settings\\All Users\\Application Data\\Microsoft\\{random folder name}\\{random file name}.exe&"
  3. En el panel derecho, busque y elimine la entrada o entradas cuyo valor de información sea la ruta de acceso del malware y el nombre de archivo de los archivos detectados anteriormente.
  4. Cierre el Editor del Registro.

Step 5

Restaurar este valor del Registro modificado

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • From: {legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"
      To: {legitimate application} = {path and file name of legitimate application}

Step 6

Buscar y eliminar estas carpetas

[ learnMore ]
Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}

Step 7

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como WORM_QBOT.BUD En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Sondaggio