Trojan.JS.QAKBOT.YQLGA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\{random string1}.bat → combines the two downloaded files to create %ProgramData%\{random string1}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• "%System%\schtasks.exe" /Create /SC ONCE /TN {random string1} /TR "cmd /c \"start /min %ProgramData%\{random string1}.bat\"" /ST {time executed + 5 minutes}
• If download fails:
  • %System%\schtasks.exe /Change /Disable /TN {random string1}
  • %System%\schtasks.exe /Delete /TN {random string1}

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://backup.justth{BLOCKED}.com/datacollectionservice.php3
• http://a{BLOCKED}.c{BLOCKED}.com.pa/datacollectionservice.php3
• http://chs.zarifb{BLOCKED}.com/datacollectionservice.php3

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\{random string1} → contains first 1000 bytes of downloaded file
• %ProgramData%\{random string2} → contains the rest of the downloaded file
• %ProgramData%\{random string1}.exe → detected as Backdoor.Win32.QAKBOT.SMF1

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

その他

以下のスケジュールされたタスクを追加します：

• Task Name: {random string1}
  • Task Run: "cmd /c "start /min %ProgramData%\{random string1}.bat""
  • Task Schedule: {time executed + 5 minutes}

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\{ランダムな文字列１}.bat →ダウンロードされた2つのファイルを結合して%ProgramData%\{ランダムな文字列１}.exeの作成

マルウェアは、以下のプロセスを追加します。

• "%System%\schtasks.exe" /Create /SC ONCE /TN {ランダムな文字列１} /TR "cmd /c \"start /min %ProgramData%\{ランダムな文字列１}.bat\"" /ST {実行された時間 ＋ ５分}
• ダウンロードに失敗した場合：
  • %System%\schtasks.exe /Change /Disable /TN {ランダムな文字列１}
  • %System%\schtasks.exe /Delete /TN {ランダムな文字列１}

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\{ランダムな文字列１} → ダウンロードされたファイルの最初の1000 bytes分を含む
• %ProgramData%\{ランダムな文字列２} → ダウンロードされたファイルの残りを含む
• %ProgramData%\{ランダムな文字列１}.exe → 「Backdoor.Win32.QAKBOT.SMF1」として検出

その他

以下のスケジュールされたタスクを追加します：

• タスク名: {ランダムな文字列１}
  • 実行するタスク: "cmd /c "start /min %ProgramData%\{ランダムな文字列１}.bat""
  • スケジュールされるタスク: {実行された時間 ＋ ５分}