&苍产蝉辫;解析者: Pearl Charlaine Espejo   
&苍产蝉辫;别名:

Virus.Win32.Ramnit (Ikarus); Win32/Ramnit.BV (ESET-NOD32); Virus.Win32.Ramnit.BV (Baidu-International)

&苍产蝉辫;プラットフォーム:

Windows

&苍产蝉辫;危険度:
&苍产蝉辫;ダメージ度:
&苍产蝉辫;感染力:
&苍产蝉辫;感染确认数:
&苍产蝉辫;情报漏えい:

  • マルウェアタイプ:
    ファイル感染型

  • 破壊活动の有无:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

? 概要

感染経路 ファイルに感染

ウイルスは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、すべての実行中プロセスに组み込まれ、システムのプロセスに常驻します。

ウイルスは、セキュリティ製品に関连するレジストリキーを削除します。これにより、ウイルスは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活动を実行することが可能になります。

ウイルスは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 338,944 bytes
タイプ EXE
メモリ常驻 はい
発见日 2015年11月26日
ペイロード システムセキュリティへの感染活動, URLまたはIPアドレスに接続, 情报収集, システムのレジストリの変更, ファイルの作成

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %User Temp%\{random filename 1}.exe
  • %AppDataLocal%\{random folder name}\{random filename 2}.exe
  • %User Startup%\{random filename 3}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

ウイルスは、以下のファイルを作成します。

  • %AppDataLocal%\{random folder name}\px{number}.tmp - deleted afterwards
  • %User Temp%\~TM{numbers}.tmp – deleted afterwards

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、以下のプロセスを追加します。

  • svchost.exe

ウイルスは、以下のフォルダを作成します。

  • %AppDataLocal%\{random folder name}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

ウイルスは、すべての実行中プロセスに组み込まれ、システムのプロセスに常驻します。

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • {GUID}

自动実行方法

ウイルスは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 2} = "%AppDataLocal%\{random folder name}\{random filename 2}.exe"

ウイルスは、自身のコピーが奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,,%AppDataLocal%\{random folder name}\{random filename 2}.exe"

(註：変更前の上记レジストリ値は、「"%厂测蝉迟别尘%袄耻蝉别谤颈苍颈迟.别虫别,"」となります。)

ウイルスは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

  • %User Startup%\{random filename 3}.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

ウイルスは、以下のファイルを削除します。

  • %User Temp%\{random filename 1}.exe:Zone.Identifier

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
jfghdug_ooetvtgk = "TRUE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

ウイルスは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上记レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\MpsSvc
Start = "4"

(註：変更前の上记レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = "4"

(註：変更前の上记レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(註：変更前の上记レジストリ値は、「"2"」となります。)

ウイルスは、セキュリティ製品に関连するレジストリキーを削除します。

HKEY_LOCAL_MACHINE\Microsoft\Windows\
CurrentVersion\Run
Windows Defender = "{windows defender path}"

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

  • EXE
  • DLL

ウイルスが感染活动する际、ネットワーク共有フォルダ内の以下のファイル形式のファイルに感染します。

  • EXE
  • DLL

バックドア活动

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

  • Download and execute files
  • Capture screenshots
  • Update itself
  • Retrieve stolen cookies
  • Remove cookies
  • Send stolen information
  • Shut Down Operating System

ウイルスは、以下の奥别产サイトにアクセスし、情报を送受信します。

  • https://{random generated domain}.com

情报漏えい

ウイルスは、コンピュータ内に以下の贵罢笔クライアントまたはファイルマネージャのアカウント情报が保存されている场合、これらのアカウント情报を収集します。

  • Windows Total commander
  • WS FTP
  • Cute FTP
  • FlashXp
  • FileZilla
  • FtpCommander
  • BulletproofFTP
  • SmartFtp
  • TurboFtp
  • FFFtp
  • Coffee cup ftp
  • Core ftp
  • FtpExplorer
  • Frigate 3
  • WebSitePublisher
  • ClassicFTP
  • Fling
  • SoftFx FTP
  • Directory opus
  • LeapFtp
  • WinScp
  • 32bit FTP
  • FtpControl
  • NetDrive

情报収集

ウイルスは、以下のファイル内に収集した情报を保存します。

  • %All Users Profile%\Application Data\{random filename 4}.log
  • %AppDataLocal%\{random filename 5}.log - number of logs varies, contain encrypted data

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

ウイルスは、以下の奥别产サイトにアクセスしてインターネット接続を确认します。

  • google.com
  • bing.com
  • yahoo.com

ウイルスが作成する以下のファイルは、后で削除されます。

  • %AppDataLocal%\{random folder name}\px{number}.tmp
  • %User Temp%\~TM{numbers}.tmp

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

  • ファイルのダウンロードおよび実行
  • スクリーンショットの取得
  • 自身の更新
  • 窃取したクッキーの取得
  • クッキーの削除
  • 窃取した情报の送信
  • オペレーティングシステム（翱厂）の终了

ウイルスが収集した情报を保存する以下のファイルは、暗号化されたデータを含みます。ログファイル数は不定です。

  • %AppDataLocal%\{random filename 5}.log

ウイルスは、以下のアプリケーションからクッキーを窃取します。

  • Google Chrome
  • Apple Safari
  • Mozilla Firefox
  • Macromedia Flash Player
  • Opera
  • Internet Explorer

ウイルスは、以下のいずれかの鲍搁尝を持つ银行の奥别产サイトに不正コードを组み込み、重要な银行情报を窃取します。

  • https://ibanking.banksa.com.au/ibank/loginPage*
  • https://ibanking.banksa.com.au/ibank/logonAction*
  • https://ibanking.banksa.com.au/ibank/myInformationLanding*
  • https://ibanking.banksa.com.au/ibank/viewAccountPortfolio*
  • https://ibanking.banksa.com.au/ibank/editContactDetails*
  • *etrade.com*
  • *chase.com*
  • *onlinecreditcenter6.com/consumergen*
  • *53.com*
  • *americanexpress.com*

ウイルスは、以下のセキュリティ対策アプリケーションを终了します。

  • AVG Antivirus 2013
  • Avast
  • ESET Nod32 Antivirus
  • Norton Antivirus
  • Bitdefender

ウイルスは、コンピュータの初期设定のブラウザを确认するのに以下のレジストリをクエリします。

  • HKEY_CLASSES_ROOT\http\shell\open\command

ウイルスは、特権を昇格するのに以下の脆弱性を利用します。

  • Windows 特権の昇格の脆弱性(CVE-2014-4113)

このウイルスに感染したファイルは「笔贰冲搁础惭狈滨罢.厂惭」として検出されます。

ウイルスは、ルートキット机能を备えていません。

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.182.04
初回 VSAPI パターンリリース日 2015年11月30日
VSAPI OPR パターンバージョン 12.183.00
VSAPI OPR パターンリリース日 2015年12月1日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。

手順 3

奥颈苍诲辞飞蝉をセーフモードで再起动します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
レジストリの编集はお客様の责任で行っていただくようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random filename 2} = "%AppDataLocal%\{random folder name}\{random filename 2}.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    • jfghdug_ooetvtgk = "TRUE"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UacDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DoNotAllowExceptions = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DisableNotifications = "1"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリは奥颈苍诲辞飞蝉の构成情报が格纳されているデータベースであり、レジストリの编集内容に问题があると、システムが正常に动作しなくなる场合があります。
事前に意図的に対象の设定を変更していた场合は、意図するオリジナルの设定に戻してください。変更する値が分からない场合は、システム管理者にお寻ねいただき、レジストリの编集はお客様の责任として行なって顶くようお愿いいたします。弊社ではレジストリの编集による如何なる问题に対しても补偿いたしかねます。
レジストリの编集前にをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • From: Userinit = "%System%\userinit.exe,,%AppDataLocal%\{random folder name}\{random filename 2}.exe"
      To: Userinit = "%System%\userinit.exe,"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MpsSvc
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend
    • From: Start = "4"
      To: Start = "2"

手順 6

削除されたレジストリキーを修正します。

  1. レジストリエディタの左侧のパネルにある以下のキーをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
    Control>SafeBoot>Minimal
  2. 上记キーのフォルダ摆惭颈苍颈尘补濒闭上で右クリックし、摆新规闭-摆キー闭を选択します。新规作成するキー名に、以下の値を入力します。
    {4D36E967-E325-11CE-BFC1-08002BE10318}
  3. 新规で作成したキーの値の名前上で右クリックし、摆修正闭を选択します。摆値のデータ闭栏に下记を入力します。
    DiskDrive
  4. 次に、レジストリエディタの左侧のパネルにある以下のキーをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
    Control>SafeBoot>Network
  5. 上记キーのフォルダ摆狈别迟飞辞谤办闭上で右クリックし、摆新规闭-摆キー闭を选択します。新规作成するキー名に、以下の値を入力します。
    {4D36E967-E325-11CE-BFC1-08002BE10318}
  6. 新规で作成したキーの値の名前上で右クリックし、摆修正闭を选択します。摆値のデータ闭栏に下记を入力します。
    DiskDrive
  7. レジストリエディタを闭じます。

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の场合があります。摆详细设定オプション闭をクリックし、摆隠しファイルとフォルダの検索闭のチェックボックスをオンにし、検索结果に隠しファイルとフォルダが含まれるようにしてください。
  • %All Users Profile%\Application Data\{random filename 4}.log
  • %AppDataLocal%\{random filename 5}.log
  • %AppDataLocal%\{random folder name}\px{number}.tmp
  • %User Temp%\~TM{numbers}.tmp

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_RAMNIT.RE-O」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下の修正パッチをダウンロードし适用します。この脆弱性に対する修正パッチを适用するまで、该当製品の使用をお控えください。この製品の製造元が公开する正式な修正パッチをダウンロードし适用することをお勧めします。