別名:

Qakbot, Qbot

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:

  • マルウェアタイプ:
    ワーム

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

感染経路 リムーバブルドライブを介した感染活動, ソフトウェアの脆弱性を利用した感染活動, インターネットからのダウンロード

QAKBOT」ファミリは、ネットワーク共有、ソフトウェアに存在する脆弱性またはリムーバブルディスクを利用し、拡散するワーム、トロイの木馬型マルウェアおよびバックドア型マルウェアとして知られています。マルウェアの亜種のなかには、マルウェアをもたらす不正なWebサイトからダウンロードされます。

このファミリが備えるメインとなる機能は、情報収集機能です。「QAKBOT」が収集する情報は、主に金融機関に関する情報です。マルウェアは、システム情報、およびクッキーやWebブラウザに保存されているユーザ名やパスワードも収集します。マルウェアは、ユーザのインターネット上での活動、およびWebブラウザとインスタントメッセンジャ(IM)に関するファイルの監視をすることにより、情報収集活動を行います。

この情報収集活動とは別に、特定のIRCサーバにアクセスし、感染コンピュータ上でコマンドの受信と実行をする「QAKBOT」の亜種もあります。コンピュータ上で実行された場合、セキュリティ関連のWebサイトへのアクセスを妨害する機能を備えた「QAKBOT」の亜種もあります。また、マルウェアは、ルートキット機能の一部として、自身のコンポーネントを隠ぺいします。

  詳細

メモリ常駐 はい
ペイロード URLまたはIPアドレスに接続, システムセキュリティへの感染活動, 情報収集

インストール

ワームは、以下のファイルを作成します。

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.dll
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name1}.dll
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name2}.dll
  • %System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name}.dll
  • %System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name1}.dll

(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe
  • %System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name}.exe

(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}
  • %System Root%\Documents and Settings\All Users\Microsoft\{random folder name}
  • %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\u

(註:%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Microsoft\{random characters}\{random characters}.exe"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"

(註:変更前の上記レジストリ値は、「{path and file name of legitimate application}」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"

(註:変更前の上記レジストリ値は、「{path and file name of legitimate application}」となります。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}.{BLOCKED}.134.75
  • {BLOCKED}v.co.in
  • {BLOCKED}1.in
  • {BLOCKED}omo.info
  • {BLOCKED}1.in
  • {BLOCKED}2.in
  • ftp.{BLOCKED}formation.com
  • ftp.{BLOCKED}central.com
  • {BLOCKED}ver.com.ua
  • s046.{BLOCKED}xmanager.com
  • {BLOCKED}te.info
  • {BLOCKED}3.com.ua

  対応方法

対応検索エンジン: 9.200

トレンドマイクロのお客様:

    最新のバージョン(パターンファイル および エンジン)を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス(overwriting virus)、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様:

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ(ISP)向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか? アンケートにご協力ください