搜索

[9854] 2016-02-27_残留的Ramnit埋伏中国热门网站后台

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-02-27_残留的Ramnit埋伏中国热门网站后台 残 留 的 R a m n i t 埋 伏 中 国 热 门 网 站 后 台 江 湖 小 吓   F r e e B u f   2 0 1 6 - 0 2 - 2 7 报 纸 不 仅 仅 让 我 们 获 得 实 时 新 闻 ， 还 可 以 防 止 各 种 漏 洞 威 胁 。 当 我 们 从 阅 读 邮 递 员 送 来 纸 质 报 纸 变 成 在 网 上 阅 读 新 报 纸 不 仅 仅 让 我 们 获 得 实 时 新 闻 ， 还 可 以 防 止 各 种 漏 洞 威 胁 。 当 我 们 从 阅 读 邮 递 员 送 来 纸 质 报 纸 变 成 在 网 上 阅 读 新 闻 ， 我 们 就 将 自 己 暴 露 在 了 危 险 的 虚 拟 世 界 。 闻 ， 我 们 就 将 自 己 暴 露 在 了 危 险 的 虚 拟 世 界 。 这 次 发 生 在 我 们 国 家 的 五 大 新 闻 网 站 之 一 。 那 些 通 过 I E 浏 览 器 浏 览 该 网 站 的 用 户 们 可 能 接 触 到 了 一 个 能 在 感 染 的 机 器 里 不 断 自 我 复 制 的 V B S c r i p t 蠕 虫 病 毒 。 虽 然 这 个 病 毒 的 始 作 俑 者 已 经 被 控 制 住 了 ， 但 是 曾 注 入 的 恶 意 软 件 依 然 偷 偷 进 入 到 了 中 国 热 门 网 站 之 一 。 F i r e E y e 的 动 态 威 胁 情 报 （ D T I ） 在 今 年 的 1 月 2 8 日 首 次 发 现 一 个 网 站 遭 到 了 破 坏 并 执 行 V B S   / R a m n i t ， 而 且 现 在 还 存 在 这 问 题 。 如 果 用 户 浏 览 了 特 定 的 网 页 并 单 击 “ 是 ” 运 行 了 A c t i v e X 那 么 很 可 能 受 到 威 胁 。 正 如 下 图 所 示 ， 在 H T M L 正 文 之 后 追 加 了 一 个 恶 意 的 V B S c r i p t 。 点 击 进 入 这 个 页 面 后 ， 浏 览 器 像 平 时 一 样 加 载 新 闻 内 容 ， 而 后 台 开 始 执 行 A c t i v e X 控 件 。 下 面 两 张 图 中 ， V B S c r i p t 在 T E M P 文 件 夹 中 停 止 了 一 个 名 为 “ s v c h o s t . e x e ” 的 二 进 制 文 件 并 成 功 执 行 A c t i v e X 。 即 使 该 系 统 被 破 坏 了 ， 它 依 然 试 图 连 接 到 之 前 曾 和 这 个 木 马 相 关 的 C N C 服 务 器 — — f g e t - c a r e e r . c o m 。
V B S c r i p t 的 执 行 和 W 3 2 . R a m n i t 的 传 递 取 决 于 用 户 的 浏 览 器 及 浏 览 器 的 设 置 。 由 于 C h r o m e 和 F i r e f o x 并 不 支 持 V B S c r i p t 客 户 端 ， 因 此 只 有 I E 用 户 很 容 易 受 到 这 种 攻 击 。 幸 运 的 是 ， 最 近 的 I E 版 本 不 会 自 动 运 行 代 码 。 当 浏 览 器 显 示 存 在 类 似 于 A c t i v e X 组 件 的 潜 在 危 险 时 就 会 弹 出 两 个 警 告 。 只 有 当 受 害 者 点 击 “ 是 ” ， 浏 览 器 执 行 阻 止 的 时 候 ， I E 开 始 在 后 台 执 行 V B S c r i p t ， 而 用 户 只 能 看 到 和 平 时 一 样 的 页 面 而 已 。 只 要 用 户 点 击 “ 否 ” 禁 止 A c t i v e X 组 件 ， 它 们 就 会 防 止 W 3 2 . R a m n i t 的 侵 入 。 然 而 ， 为 什 么 这 种 侵 入 会 成 功 ？ 往 往 一 个 有 着 良 好 的 名 声 的 合 法 网 站 被 攻 破 攻 击 或 被 恶 意 软 件 盯 上 时 ， 用 户 会 想 当 然 地 信 任 这 个 网 站 而 点 击 “ Y e s ” 进 而 被 病 毒 感 染 。 因 此 一 些 国 际 上 A l e x a   上 排 名 前 1 0 0 的 最 常 访 问 的 网 站 以 及 中 国 排 名 前 2 5 位 最 受 欢 迎 的 网 站 常 常 会 受 到 这 种 潜 在 的 威 胁 。 我 们 多 方 位 检 测 到 了 这 种 感 染 。   F i r e E y e 的 多 流 检 测 跟 踪 出 一 条 完 整 的 攻 击 链 以 及 C n C 通 讯 。 虽 然 C n C 主 机 已 经 暂 停 了 很 长 一 段 时 间 ， 但 是 蠕 虫 病 毒 的 存 在 依 然 祸 害 着 用 户 ， 不 仅 仅 是 因 为 它 把 自 己 添 加 到 所 有 可 以 访 问 的 H T M L 文 件 中 ， 还 把 自 己 添 加 到 注 册 表 影 响 着 机 器 的 性 能 。 因 此 ， 在 浏 览 这 些 网 页 的 时 候 仍 不 能 掉 以 轻 心 ， 小 心 病 毒 感 染 ~ * 参 考 来 源 ： f i r e e y e ， F B 小 编 江 湖 小 吓 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理