Trend Micro Security

PE_RAMNIT.RE-O

2016年6月13日
 解析者: Pearl Charlaine Espejo   

 別名:

Virus.Win32.Ramnit (Ikarus); Win32/Ramnit.BV (ESET-NOD32); Virus.Win32.Ramnit.BV (Baidu-International)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 ファイルに感染

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ウイルスは、セキュリティ製品に関連するレジストリキーを削除します。これにより、ウイルスは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活動を実行することが可能になります。

ウイルスは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。


  詳細

ファイルサイズ 338,944 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年11月26日
ペイロード システムセキュリティへの感染活動, URLまたはIPアドレスに接続, 情報収集, システムのレジストリの変更, ファイルの作成

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %User Temp%\{random filename 1}.exe
  • %AppDataLocal%\{random folder name}\{random filename 2}.exe
  • %User Startup%\{random filename 3}.exe

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local" です。. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

ウイルスは、以下のファイルを作成します。

  • %AppDataLocal%\{random folder name}\px{number}.tmp - deleted afterwards
  • %User Temp%\~TM{numbers}.tmp – deleted afterwards

(註:%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local" です。. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

ウイルスは、以下のプロセスを追加します。

  • svchost.exe

ウイルスは、以下のフォルダを作成します。

  • %AppDataLocal%\{random folder name}

(註:%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local" です。)

ウイルスは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • {GUID}

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 2} = "%AppDataLocal%\{random folder name}\{random filename 2}.exe"

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,,%AppDataLocal%\{random folder name}\{random filename 2}.exe"

(註:変更前の上記レジストリ値は、「"%System%\userinit.exe,"」となります。)

ウイルスは、Windows起動時に自動実行されるよう<User Startup>フォルダ内に以下のファイルを作成します。

  • %User Startup%\{random filename 3}.exe

(註:%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\<ユーザ名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

ウイルスは、以下のファイルを削除します。

  • %User Temp%\{random filename 1}.exe:Zone.Identifier

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
jfghdug_ooetvtgk = "TRUE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

ウイルスは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註:変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\MpsSvc
Start = "4"

(註:変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = "4"

(註:変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(註:変更前の上記レジストリ値は、「"2"」となります。)

ウイルスは、セキュリティ製品に関連するレジストリキーを削除します。

HKEY_LOCAL_MACHINE\Microsoft\Windows\
CurrentVersion\Run
Windows Defender = "{windows defender path}"

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

  • EXE
  • DLL

ウイルスが感染活動する際、ネットワーク共有フォルダ内の以下のファイル形式のファイルに感染します。

  • EXE
  • DLL

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

  • Download and execute files
  • Capture screenshots
  • Update itself
  • Retrieve stolen cookies
  • Remove cookies
  • Send stolen information
  • Shut Down Operating System

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

  • https://{random generated domain}.com

情報漏えい

ウイルスは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

  • Windows Total commander
  • WS FTP
  • Cute FTP
  • FlashXp
  • FileZilla
  • FtpCommander
  • BulletproofFTP
  • SmartFtp
  • TurboFtp
  • FFFtp
  • Coffee cup ftp
  • Core ftp
  • FtpExplorer
  • Frigate 3
  • WebSitePublisher
  • ClassicFTP
  • Fling
  • SoftFx FTP
  • Directory opus
  • LeapFtp
  • WinScp
  • 32bit FTP
  • FtpControl
  • NetDrive

情報収集

ウイルスは、以下のファイル内に収集した情報を保存します。

  • %All Users Profile%\Application Data\{random filename 4}.log
  • %AppDataLocal%\{random filename 5}.log - number of logs varies, contain encrypted data

(註:%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local" です。)

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

  • google.com
  • bing.com
  • yahoo.com

ウイルスが作成する以下のファイルは、後で削除されます。

  • %AppDataLocal%\{random folder name}\px{number}.tmp
  • %User Temp%\~TM{numbers}.tmp

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

  • ファイルのダウンロードおよび実行
  • スクリーンショットの取得
  • 自身の更新
  • 窃取したクッキーの取得
  • クッキーの削除
  • 窃取した情報の送信
  • オペレーティングシステム(OS)の終了

ウイルスが収集した情報を保存する以下のファイルは、暗号化されたデータを含みます。ログファイル数は不定です。

  • %AppDataLocal%\{random filename 5}.log

ウイルスは、以下のアプリケーションからクッキーを窃取します。

  • Google Chrome
  • Apple Safari
  • Mozilla Firefox
  • Macromedia Flash Player
  • Opera
  • Internet Explorer

ウイルスは、以下のいずれかのURLを持つ銀行のWebサイトに不正コードを組み込み、重要な銀行情報を窃取します。

  • https://ibanking.banksa.com.au/ibank/loginPage*
  • https://ibanking.banksa.com.au/ibank/logonAction*
  • https://ibanking.banksa.com.au/ibank/myInformationLanding*
  • https://ibanking.banksa.com.au/ibank/viewAccountPortfolio*
  • https://ibanking.banksa.com.au/ibank/editContactDetails*
  • *etrade.com*
  • *chase.com*
  • *onlinecreditcenter6.com/consumergen*
  • *53.com*
  • *americanexpress.com*

ウイルスは、以下のセキュリティ対策アプリケーションを終了します。

  • AVG Antivirus 2013
  • Avast
  • ESET Nod32 Antivirus
  • Norton Antivirus
  • Bitdefender

ウイルスは、コンピュータの初期設定のブラウザを確認するのに以下のレジストリをクエリします。

  • HKEY_CLASSES_ROOT\http\shell\open\command

ウイルスは、特権を昇格するのに以下の脆弱性を利用します。

  • Windows 特権の昇格の脆弱性(CVE-2014-4113)

このウイルスに感染したファイルは「PE_RAMNIT.SM」として検出されます。

ウイルスは、ルートキット機能を備えていません。


  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.182.04
初回 VSAPI パターンリリース日 2015年11月30日
VSAPI OPR パターンバージョン 12.183.00
VSAPI OPR パターンリリース日 2015年12月1日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random filename 2} = "%AppDataLocal%\{random folder name}\{random filename 2}.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    • jfghdug_ooetvtgk = "TRUE"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLUA = "0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UacDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • AntiVirusDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallOverride = "1"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • UpdatesDisableNotify = "1"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DoNotAllowExceptions = "0"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • DisableNotifications = "1"

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • From: Userinit = "%System%\userinit.exe,,%AppDataLocal%\{random folder name}\{random filename 2}.exe"
      To: Userinit = "%System%\userinit.exe,"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\MpsSvc
    • From: Start = "4"
      To: Start = "2"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend
    • From: Start = "4"
      To: Start = "2"

手順 6

削除されたレジストリキーを修正します。

  1. レジストリエディタの左側のパネルにある以下のキーをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
    Control>SafeBoot>Minimal
  2. 上記キーのフォルダ[Minimal]上で右クリックし、[新規]-[キー]を選択します。新規作成するキー名に、以下の値を入力します。
    {4D36E967-E325-11CE-BFC1-08002BE10318}
  3. 新規で作成したキーの値の名前上で右クリックし、[修正]を選択します。[値のデータ]欄に下記を入力します。
    DiskDrive
  4. 次に、レジストリエディタの左側のパネルにある以下のキーをダブルクリックします。
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>
    Control>SafeBoot>Network
  5. 上記キーのフォルダ[Network]上で右クリックし、[新規]-[キー]を選択します。新規作成するキー名に、以下の値を入力します。
    {4D36E967-E325-11CE-BFC1-08002BE10318}
  6. 新規で作成したキーの値の名前上で右クリックし、[修正]を選択します。[値のデータ]欄に下記を入力します。
    DiskDrive
  7. レジストリエディタを閉じます。

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %All Users Profile%\Application Data\{random filename 4}.log
  • %AppDataLocal%\{random filename 5}.log
  • %AppDataLocal%\{random folder name}\px{number}.tmp
  • %User Temp%\~TM{numbers}.tmp

手順 8

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「PE_RAMNIT.RE-O」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチを適用するまで、該当製品の使用をお控えください。この製品の製造元が公開する正式な修正パッチをダウンロードし適用することをお勧めします。


ご利用はいかがでしたか? アンケートにご協力ください