TrojanSpy.Win32.QAKBOT.TIGOCED
Trojan:Win32/Qakbot.VC!Cert (MICROSOFT)
Windows
- マルウェアタイプ: スパイウェア/情報窃取型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のファイルを作成します。
- %Application Data%\Microsoft\{Random characters}\{Random characters}.dat
- %User Temp%\~{File name that ran explorer.exe}.tmp
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)
スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\Microsoft\{Random characters}\{Random characters}.exe
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
スパイウェアは、以下のプロセスを追加します。
- {Malware file name} /C
- {Malware copy} /C
- {Malware copy} /W
- %Windows%\explorer.exe (%System%\mobsync.exe or %Program Files%\Internet Explorer\iexplore.exe if not found)
- "%System%\schtasks.exe" /create /tn {GUID} /tr "\"{Malware copy}"" /sc HOURLY /mo 5 /F
- "%System%\schtasks.exe" /Create /RU "NT AUTHORITY\SYSTEM" /tn {Random characters} /tr "\"{Malware file name}\" /I {Random characters}" /SC ONCE /Z /ST {Time} /ET {Time}
(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)
スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- Global\{GUID}
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random characters} = {Malware copy}
情報漏えい
トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。
- Operating system information
- Processor information
- Installed antivirus products
- Running processes
- Computer name
- User name
- IP address
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- https://{BLOCKED}.{BLOCKED}.231.40:443/t3
- https://{BLOCKED}.{BLOCKED}.141.139:995/t3
- https://{BLOCKED}.{BLOCKED}.4.196:443/t3
- https://{BLOCKED}.{BLOCKED}.135.148:443/t3
- https://{BLOCKED}.{BLOCKED}.244.147:2222/t3
- https://{BLOCKED}.{BLOCKED}.251.113:995/t3
- https://{BLOCKED}.{BLOCKED}.164.111:443/t3
- https://{BLOCKED}.{BLOCKED}.24.29:443/t3
- https://{BLOCKED}.{BLOCKED}.47.123:443/t3
- https://{BLOCKED}.{BLOCKED}.227.86:443/t3
- https://{BLOCKED}.{BLOCKED}.47.206:443/t3
- https://{BLOCKED}.{BLOCKED}.91.187:995/t3
- https://{BLOCKED}.{BLOCKED}.102.42:443/t3
- https://{BLOCKED}.{BLOCKED}.149.88:995/t3
- https://{BLOCKED}.{BLOCKED}.64.106:443/t3
- https://{BLOCKED}.{BLOCKED}.130.44:443/t3
- https://{BLOCKED}.{BLOCKED}.102.47:995/t3
- https://{BLOCKED}.{BLOCKED}.180.194:2078/t3
- https://{BLOCKED}.{BLOCKED}.156.50:443/t3
- https://{BLOCKED}.{BLOCKED}.134.226:443/t3
- https://{BLOCKED}.{BLOCKED}.4.176:995/t3
- https://{BLOCKED}.{BLOCKED}.10.71:2222/t3
- https://{BLOCKED}.{BLOCKED}.120.11:2222/t3
- https://{BLOCKED}.{BLOCKED}.7.235:443/t3
- https://{BLOCKED}.{BLOCKED}.22.245:443/t3
- https://{BLOCKED}.{BLOCKED}.38.188:2222/t3
- https://{BLOCKED}.{BLOCKED}.11.82:44/t3
- https://{BLOCKED}.{BLOCKED}.11.82:443/t3
- https://{BLOCKED}.{BLOCKED}.167.91:443/t3
- https://{BLOCKED}.{BLOCKED}.157.66:443/t3
- https://{BLOCKED}.{BLOCKED}.58.112:995/t3
- https://{BLOCKED}.{BLOCKED}.173.34:995/t3
- https://{BLOCKED}.{BLOCKED}.249.97:443/t3
- https://{BLOCKED}.{BLOCKED}.178.208:995/t3
- https://{BLOCKED}.{BLOCKED}.14.202:995/t3
- https://{BLOCKED}.{BLOCKED}.11.22:443/t3
- https://{BLOCKED}.{BLOCKED}.64.53:443/t3
- https://{BLOCKED}.{BLOCKED}.106.26:995/t3
- https://{BLOCKED}.{BLOCKED}.63.128:443/t3
- https://{BLOCKED}.{BLOCKED}.114.157:443/t3
- https://{BLOCKED}.{BLOCKED}.91.154:443/t3
- https://{BLOCKED}.{BLOCKED}.1.236:443/t3
- https://{BLOCKED}.{BLOCKED}.106.93:2222/t3
- https://{BLOCKED}.{BLOCKED}.161.55:995/t3
- https://{BLOCKED}.{BLOCKED}.17.61:443/t3
- https://{BLOCKED}.{BLOCKED}.22.145:443/t3
- https://{BLOCKED}.{BLOCKED}.237.230:2222/t3
- https://{BLOCKED}.{BLOCKED}.156.174:443/t3
- https://{BLOCKED}.{BLOCKED}.240.61:995/t3
- https://{BLOCKED}.{BLOCKED}.47.147:995/t3
- https://{BLOCKED}.{BLOCKED}.36.85:443/t3
- https://{BLOCKED}.{BLOCKED}.231.21:443/t3
- https://{BLOCKED}.{BLOCKED}.46.201:443/t3
- https://{BLOCKED}.{BLOCKED}.216.245:443/t3
- https://{BLOCKED}.{BLOCKED}.104.33:443/t3
- https://{BLOCKED}.{BLOCKED}.75.201:443/t3
- https://{BLOCKED}.{BLOCKED}.158.180:443/t3
- https://{BLOCKED}.{BLOCKED}.161.8:465/t3
- https://{BLOCKED}.{BLOCKED}.202.49:443/t3
- https://{BLOCKED}.{BLOCKED}.209.163:995/t3
- https://{BLOCKED}.{BLOCKED}.122.217:443/t3
- https://{BLOCKED}.{BLOCKED}.190.120:995/t3
- https://{BLOCKED}.{BLOCKED}.109.73:2222/t3
- https://{BLOCKED}.{BLOCKED}.110.68:443/t3
- https://{BLOCKED}.{BLOCKED}.162.158:443/t3
- https://{BLOCKED}.{BLOCKED}.70.137:2222/t3
- https://{BLOCKED}.{BLOCKED}.112.13:995/t3
- https://{BLOCKED}.{BLOCKED}.15.243:443/t3
- https://{BLOCKED}.{BLOCKED}.96.113:443/t3
- https://{BLOCKED}.{BLOCKED}.222.222:2222/t3
- https://{BLOCKED}.{BLOCKED}.183.107:995/t3
- https://{BLOCKED}.{BLOCKED}.180.247:443/t3
- https://{BLOCKED}.{BLOCKED}.218.146:443/t3
- https://{BLOCKED}.{BLOCKED}.116.41:995/t3
- https://{BLOCKED}.{BLOCKED}.69.86:2222/t3
- https://{BLOCKED}.{BLOCKED}.87.175:995/t3
- https://{BLOCKED}.{BLOCKED}.154.10:443/t3
- https://{BLOCKED}.{BLOCKED}.164.175:443/t3
- https://{BLOCKED}.{BLOCKED}.115.154:990/t3
- https://{BLOCKED}.{BLOCKED}.174.82:443/t3
- https://{BLOCKED}.{BLOCKED}.177.171:2222/t3
- https://{BLOCKED}.{BLOCKED}.217.98:443/t3
- https://{BLOCKED}.{BLOCKED}.71.91:443/t3
- https://{BLOCKED}.{BLOCKED}.122.188:443/t3
- https://{BLOCKED}.{BLOCKED}.84.129:443/t3
- https://{BLOCKED}.{BLOCKED}.172.114:443/t3
- https://{BLOCKED}.{BLOCKED}.112.106:443/t3
- https://{BLOCKED}.{BLOCKED}.112.10:995/t3
- https://{BLOCKED}.{BLOCKED}.198.129:2222/t3
- https://{BLOCKED}.{BLOCKED}.36.157:443/t3
- https://{BLOCKED}.{BLOCKED}.247.15:443/t3
- https://{BLOCKED}.{BLOCKED}.43.93:443/t3
- https://{BLOCKED}.{BLOCKED}.103.21:443/t3
- https://{BLOCKED}.{BLOCKED}.210.246:22/t3
- https://{BLOCKED}.{BLOCKED}.56.31:443/t3
- https://{BLOCKED}.{BLOCKED}.179.70:443/t3
- https://{BLOCKED}.{BLOCKED}.92.175:2222/t3
- https://{BLOCKED}.{BLOCKED}.29.226:443/t3
- https://{BLOCKED}.{BLOCKED}.130.172:995/t3
- https://{BLOCKED}.{BLOCKED}.118.217:443/t3
- https://{BLOCKED}.{BLOCKED}.224.206:443/t3
- https://{BLOCKED}.{BLOCKED}.142.63:443/t3
- https://{BLOCKED}.{BLOCKED}.170.235:443/t3
- https://{BLOCKED}.{BLOCKED}.140.73:443/t3
- https://{BLOCKED}.{BLOCKED}.175.202:61200/t3
- https://{BLOCKED}.{BLOCKED}.106.198:995/t3
- https://{BLOCKED}.{BLOCKED}.212.109:993/t3
- https://{BLOCKED}.{BLOCKED}.242.138:50001/t3
- https://{BLOCKED}.{BLOCKED}.55.147:995/t3
- https://{BLOCKED}.{BLOCKED}.200.181:2222/t3
- https://{BLOCKED}.{BLOCKED}.253.47:443/t3
- https://{BLOCKED}.{BLOCKED}.15.220:443/t3
- https://{BLOCKED}.{BLOCKED}.46.105:443/t3
- https://{BLOCKED}.{BLOCKED}.184.213:443/t3
- https://{BLOCKED}.{BLOCKED}.24.163:443/t3
- https://{BLOCKED}.{BLOCKED}.145.5:443/t3
- https://{BLOCKED}.{BLOCKED}.117.134:443/t3
- https://{BLOCKED}.{BLOCKED}.40.155:443/t3
- https://{BLOCKED}.{BLOCKED}.47.174:443/t3
- https://{BLOCKED}.{BLOCKED}.128.194:443/t3
- https://{BLOCKED}.{BLOCKED}.77.99:995/t3
- https://{BLOCKED}.{BLOCKED}.12.181:443/t3
- https://{BLOCKED}.{BLOCKED}.219.126:995/t3
- https://{BLOCKED}.{BLOCKED}.173.8:995/t3
- https://{BLOCKED}.{BLOCKED}.114.157:443/t3
- https://{BLOCKED}.{BLOCKED}.192.173:443/t3
- https://{BLOCKED}.{BLOCKED}.196.208:443/t3
- https://{BLOCKED}.{BLOCKED}.138.103:995/t3
- https://{BLOCKED}.{BLOCKED}.3.6:443/t3
- https://{BLOCKED}.{BLOCKED}.209.42:2222/t3
- https://{BLOCKED}.{BLOCKED}.92.29:443/t3
- https://{BLOCKED}.{BLOCKED}.238.30:443/t3
- https://{BLOCKED}.{BLOCKED}.237.47:2222/t3
- https://{BLOCKED}.{BLOCKED}.228.210:443/t3
- https://{BLOCKED}.{BLOCKED}.234.245:2222/t3
- https://{BLOCKED}.{BLOCKED}.9.224:443/t3
- https://{BLOCKED}.{BLOCKED}.61.29:443/t3
- https://{BLOCKED}.{BLOCKED}.67.56:995/t3
- https://{BLOCKED}.{BLOCKED}.179.56:61201/t3
- https://{BLOCKED}.{BLOCKED}.218.246:443/t3
- https://{BLOCKED}.{BLOCKED}.174.134:443/t3
- https://{BLOCKED}.{BLOCKED}.159.71:995/t3
- https://{BLOCKED}.{BLOCKED}.60.191:20/t3
- https://{BLOCKED}.{BLOCKED}.60.191:21/t3
- https://{BLOCKED}.{BLOCKED}.185.240:443/t3
- https://{BLOCKED}.{BLOCKED}.144.238:443/t3
- https://{BLOCKED}.{BLOCKED}.211.17:443/t3
- https://{BLOCKED}.{BLOCKED}.231.63:443/t3
- https://{BLOCKED}.{BLOCKED}.233.84:443/t3
- https://{BLOCKED}.{BLOCKED}.221.117:443/t3
- https://{BLOCKED}.{BLOCKED}.226.2:443/t3
その他
スパイウェアは、以下を実行します。
- It attempts to drop copies of itself to other machines in the same network via IPC$ shares.
- It connects to the following website to know the IP address of the system:
- http://www.ip-adress.com
ただし、情報公開日現在、このWebサイトにはアクセスできません。
以下のスケジュールされたタスクを追加します：
- Task name: {GUID}
Trigger: Every 5 hours
Action: Start a program {Malware copy} - Task name: {Random characters}
Trigger: One-time
Action: Start a program "{Malware file name}" /I {Random characters}
＜補足＞
インストール
スパイウェアは、以下のファイルを作成します。
- %Application Data%\Microsoft\{ランダムな文字}\{ランダムな文字}.dat
- %User Temp%\~{explorer.exeを実行するファイルの名前}.tmp
スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\Microsoft\{ランダムな文字}\{ランダムな文字}.exe
スパイウェアは、以下のプロセスを追加します。
- {マルウェアのファイル名} /C
- {マルウェアのコピー} /C
- {マルウェアのコピー} /W
- %Windows%\explorer.exe (Explorer\iexplore.exeが見つからない場合、%System%\mobsync.exe または %Program Files%\Internet)
- "%System%\schtasks.exe" /create /tn {GUID} /tr "\"{マルウェアのコピー}"" /sc HOURLY /mo 5 /F
- "%System%\schtasks.exe" /Create /RU "NT AUTHORITY\SYSTEM" /tn {ランダムな文字} /tr "\"{マルウェアのファイル名}\" /I {ランダムな文字}" /SC ONCE /Z /ST {時間} /ET {時間}
情報漏えい
トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。
- オペレーティング・システム（OS）情報
- プロセッサ情報
- インストールされたウイルス対策製品
- 実行中のプロセス
- コンピュータ名
- ユーザ名
- IPアドレス
その他
スパイウェアは、以下を実行します。
- スパイウェアは、IPC $共有を介して、同じネットワーク内の他のコンピュータに自身のコピーを作成しようと試みます。
- スパイウェアは、以下のWebサイトに接続して、コンピュータのIPアドレスを確認します。
- http://www.ip-adress.com
以下のスケジュールされたタスクを追加します：
- タスク名: {GUID}
トリガー: 5時間毎
アクション: プログラムの開始 {マルウェアのコピー} - タスク名: {ランダムな文字}
トリガー: 一度限り
アクション: プログラムの開始 "{マルウェアのファイル名}" /I {ランダムな文字}
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Troj.Win32.TRX.XXPE50FFF036
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
スケジュールされたタスクを削除する
タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。
- Task name: {GUID}
Task to be run: Start a program {Malware copy} - Task name: {Random characters}
Task to be run: Start a program "{Malware file name}" /I {Random characters}
Windows 2000、Windows XP、Windows Server 2003の場合：
- [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
- 上記の{タスク名} を、[名前]の欄に入力します。
- 入力した{タスク名} 持つファイルを右クリックします。
- [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
- 上記の{実行するタスク}と文字列が一致するタスクを削除します。
Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合：
- Windowsタスクスケジューラを開きます。
• Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
• Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。 - 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
- 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
- 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
- 文字列が一致するタスクを削除します。
手順 6
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Random characters} = {Malware copy}
- {Random characters} = {Malware copy}
手順 7
以下のファイルを検索し削除します。
- %Application Data%\Microsoft\{Random characters}\{Random characters}.exe
- %Application Data%\Microsoft\{Random characters}\{Random characters}.dat
- %User Temp%\~{File name that ran explorer.exe}.tmp
手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.QAKBOT.TIGOCED」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください