标签：可执行文件 exe 感染 查杀 Ramnit 蠕虫 html 病毒
Ramnit是一种蠕虫病毒。拥有多种传播方式，不仅可以通过网页进行传播，还可以通过感染计算机内可执行文件进行传播。该病毒在2010年第一次被安全研究者发现，从网络威胁监控中可以看出目前仍然有大量的主机感染该病毒，所以Ramnit依然是网络空间世界的重大威胁之一。
Ramnit病毒可以监控网络访问活动等，可能导致网上银行交易等信息的泄露或盗取；
该病毒还可以扫描和浏览服务器中的文件系统，获取敏感的文件信息；
此外该病毒通过控制某台计算机可以作为攻击者的跳板对整个内部网络造成危害。
影响范围
据称该病毒在全球感染了超过320万台计算机，深信服安全中心还对对互联网上部分的web服务器进行搜集，共发现26000多个对外开放的网站被该病毒所感染，再加上不对外开放的服务器及PC主机，由此也可以看出该病毒目前感染量依然很巨大，部分检测到的被感染web服务器主机：
应对方式
1、检测与防御
查看html或者htm文件是否被追加入了上述提及的vbs恶意脚本；安装杀毒软件，主流杀软可以对该病毒进行检测，也可进行查杀，不过可能会导致将被感染的exe等可执行文件清除，导致某些软件无法使用，可以优先使用专杀工具尝试恢复。
2、预防
使用高版本的 IE 浏览器，且设置较高的安全等级：
不轻易允许陌生网站的 ActiveX 运行请求或者 Script Runtime 运行请求：
3、查杀
赛门铁克针对 Ramnit 病毒制作了专杀工具，被感染的小伙伴们可以下载使用：
查杀工具
传播过程
1、Ramnit 病毒的网页传播方式
在被植入了 Ramnit 病毒的主机中，病毒会感染主机中的 .html 或 .htm 后缀的网页，在 .html 或 .htm 文件中添加如下的 vbs 攻击代码：
当使用低版本或安全策略配置不当的 IE 浏览器访问被 Ramnit 感染的 html 网页时，感染 html 网页的 vbs 攻击代码将被执行，创建并运行 Ramnit 病毒。继而 Ramnit 病毒会感染访问者本地计算机的 html 文件，从而形成蠕虫的自动化传播。
传播过程如下图所示：
IE 浏览器运行 vbs 恶意代码后，在 temp 目录下生成 svchost.exe 病毒，svchost.exe 病毒程序运行后在 User 目录或者 Program Files 目录下创建 Microsoft\DesktopLayer.exe 可执行程序。DesktopLayer.exe 启动 IE 的浏览器的进程 iexplore.exe，并将 iexplore.exe 地址空间替换成病毒的恶意代码，后续的感染 html 文件、可执行文件及网络通信均是通过被替换的 iexplore.exe 进程来实现。此外病毒还会修改注册表项 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit，来达到开机启动的目的。
2、Ramnit病毒的本地传播方式
除了通过网页传播外，Ramnit 病毒还可以通过感染本地计算机中的 exe、dll、src 等可执行文件的方式进行传播，当被感染的主机将可执行文件拷贝到其他主机中运行时，会形成传播。
感染的可执行文件被添加病毒的代码段，如下图所示：
红框中的代码段 .rmnet 是病毒向可执行文件中添加的病毒代码段，该代码段先于正常代码运行。
除此之外，据称该病毒也利用挂马工具包等其他方式传播。
转载链接
标签：可执行文件,exe,感染,查杀,Ramnit,蠕虫,html,病毒 来源： https://www.cnblogs.com/renhaoblog/p/13049290.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。