Ramnit蠕虫病毒分析和查杀

Posted 2020-12-09 renhaoblog

Ramnit是一种蠕虫病毒。拥有多种传播方式，不仅可以通过网页进行传播，还可以通过感染计算机内可执行文件进行传播。该病毒在2010年第一次被安全研究者发现，从网络威胁监控中可以看出目前仍然有大量的主机感染该病毒，所以Ramnit依然是网络空间世界的重大威胁之一。
Ramnit病毒可以监控网络访问活动等，可能导致网上银行交易等信息的泄露或盗取；
该病毒还可以扫描和浏览服务器中的文件系统，获取敏感的文件信息；
此外该病毒通过控制某台计算机可以作为攻击者的跳板对整个内部网络造成危害。

病毒样本分析

微步云沙箱
1、对网站uri进行扫描

2、扫描结果，html含有病毒

3、样本分析

影响范围

据称该病毒在全球感染了超过320万台计算机，深信服安全中心还对对互联网上部分的web服务器进行搜集，共发现26000多个对外开放的网站被该病毒所感染，再加上不对外开放的服务器及PC主机，由此也可以看出该病毒目前感染量依然很巨大，部分检测到的被感染web服务器主机：

应对方式

1、检测与防御
查看html或者htm文件是否被追加入了上述提及的vbs恶意脚本；安装杀毒软件，主流杀软可以对该病毒进行检测，也可进行查杀，不过可能会导致将被感染的exe等可执行文件清除，导致某些软件无法使用，可以优先使用专杀工具尝试恢复。
2、预防
使用高版本的 IE 浏览器，且设置较高的安全等级：

不轻易允许陌生网站的 ActiveX 运行请求或者 Script Runtime 运行请求：

3、查杀
赛门铁克针对 Ramnit 病毒制作了专杀工具，被感染的小伙伴们可以下载使用：
查杀工具

传播过程

1、Ramnit 病毒的网页传播方式
在被植入了 Ramnit 病毒的主机中，病毒会感染主机中的 .html 或 .htm 后缀的网页，在 .html 或 .htm 文件中添加如下的 vbs 攻击代码：

病毒样本解压密码：Ramnit

当使用低版本或安全策略配置不当的 IE 浏览器访问被 Ramnit 感染的 html 网页时，感染 html 网页的 vbs 攻击代码将被执行，创建并运行 Ramnit 病毒。继而 Ramnit 病毒会感染访问者本地计算机的 html 文件，从而形成蠕虫的自动化传播。
传播过程如下图所示：

IE 浏览器运行 vbs 恶意代码后，在 temp 目录下生成 svchost.exe 病毒，svchost.exe 病毒程序运行后在 User 目录或者 Program Files 目录下创建 MicrosoftDesktopLayer.exe 可执行程序。DesktopLayer.exe 启动 IE 的浏览器的进程 iexplore.exe，并将 iexplore.exe 地址空间替换成病毒的恶意代码，后续的感染 html 文件、可执行文件及网络通信均是通过被替换的 iexplore.exe 进程来实现。此外病毒还会修改注册表项 HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonUserinit，来达到开机启动的目的。
2、Ramnit病毒的本地传播方式
除了通过网页传播外，Ramnit 病毒还可以通过感染本地计算机中的 exe、dll、src 等可执行文件的方式进行传播，当被感染的主机将可执行文件拷贝到其他主机中运行时，会形成传播。
感染的可执行文件被添加病毒的代码段，如下图所示：

红框中的代码段 .rmnet 是病毒向可执行文件中添加的病毒代码段，该代码段先于正常代码运行。
除此之外，据称该病毒也利用挂马工具包等其他方式传播。

病毒危害

会导致账号密码、私人数据等个人信息被窃取。

转载链接

深信服社区-Ramnit蠕虫病毒分析和查杀
天台人满为患，不如来看下这个Ramnit蠕虫分析
HTML文件自动加入了VBS代码?教你解决Ramnit病毒