TSPY_QAKBOT

2012年10月9日

別名:

Qakbot, Qbot

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路リムーバブルドライブを介した感染活動, ソフトウェアの脆弱性を利用した感染活動, インターネットからのダウンロード

「QAKBOT」は、ネットワーク共有、ソフトウェアに存在する脆弱性またはリムーバブルディスクを介して拡散するワーム、トロイの木馬型マルウェアおよびバックドア型マルウェアとして知られています。マルウェアの亜種のいくつかは、マルウェアを提供する不正なWebサイトからダウンロードされます。QAKBOTは、2007年に初めて確認されました。

マルウェアのメインとなる機能は、情報収集です。マルウェアが収集する情報は、主に金融機関に関する情報です。マルウェアは、システム情報、およびクッキーやWebブラウザに保存されているユーザ名やパスワードも収集します。マルウェアは、ユーザのインターネット上での活動、およびWebブラウザとインスタントメッセンジャ（IM）に関するファイルの監視をすることにより、情報収集活動を行います。

マルウェアの情報収集活動とは別に、特定のIRCサーバにアクセスし、感染コンピュータ上でコマンドの受信と実行をするQAKBOTの亜種もあります。コンピュータ上で実行された場合、セキュリティ関連のWebサイトへのアクセスを妨害する機能を備えたQAKBOTの亜種もあります。また、マルウェアは、ルートキット機能の一部として、マルウェアのコンポーネントを隠ぺいします。

詳細

メモリ常駐はい

ペイロード URLまたはIPアドレスに接続, システムセキュリティへの感染活動, 情報収集

インストール

スパイウェアは、以下のファイルを作成します。

%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.dll
%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name1}.dll
%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name2}.dll
%System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name}.dll
%System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name1}.dll

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe
%System Root%\Documents and Settings\All Users\Microsoft\{random folder name}\{random file name}.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}
%System Root%\Documents and Settings\All Users\Microsoft\{random folder name}
%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\u

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Microsoft\{random characters}\{random characters}.exe"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random folder name}\{random file name}.exe" /c {path and file name of legitimate application}"

(註：変更前の上記レジストリ値は、「{path and file name of legitimate application}」となります。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

{BLOCKED}.{BLOCKED}.134.75
{BLOCKED}v.co.in
{BLOCKED}1.in
{BLOCKED}omo.info
{BLOCKED}1.in
{BLOCKED}2.in
ftp.{BLOCKED}formation.com
ftp.{BLOCKED}central.com
{BLOCKED}ver.com.ua
s046.{BLOCKED}xmanager.com
{BLOCKED}te.info
{BLOCKED}3.com.ua

対応方法

対応検索エンジン: 9.200

トレンドマイクロのお客様：

最新のバージョン（パターンファイル and エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。

ご利用はいかがでしたか？　アンケートにご協力ください

TSPY_QAKBOT

概要

詳細

対応方法

関連ブログ記事

関連マルウェア