總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2016-0014
近期，根據(jù)國家互聯(lián)網(wǎng)應急中心（CNCERT）監(jiān)測結(jié)果，一個名為“Ramnit”的網(wǎng)頁惡意代碼被掛載在境內(nèi)近600個黨政機關(guān)、企事業(yè)單位網(wǎng)站上，一旦用戶訪問網(wǎng)站有可能受到掛馬攻擊，對網(wǎng)站訪問用戶的PC主機構(gòu)成安全威脅。相關(guān)情況公告如下：
一、Ramnit惡意代碼威脅情況
Ramnit惡意代碼是一個典型的VBScript蠕蟲病毒，可通過網(wǎng)頁掛馬的方式進行傳播，用戶瀏覽掛載該惡意代碼的HTML頁面后并點擊加載ActiveX控件后主機就有可能受到惡意代碼的感染。如下圖所示為Ramnit代碼在頁面中駐留的代碼片斷。
圖?HTML頁面的Ramnit惡意代碼片斷(來源：Fireeye)
Ramnit主要在用戶%TEMP%文件夾中植入了一個名為“svchost.exe”的二進制文件并執(zhí)行關(guān)聯(lián)的ActiveX控件，受感染的用戶主機會試圖連接到與Ramnit相關(guān)的一個木馬控制服務器——fget-career.com。如下兩圖所示：
圖?svchost.exe被植入(來源：Fireeye)
根據(jù)目前的分析情況，Chrome和Firefox瀏覽器用戶不會受到惡意代碼的影響，而較高版本的IE瀏覽器也會對此類ActiveX控件進行告警提示而不是自動執(zhí)行。低版本IE瀏覽器用戶或進行了不安全配置（如：設置信任不明來源的ActiveX控件）的IE用戶易受到惡意代碼的威脅。
二、網(wǎng)站監(jiān)測和處置情況
根據(jù)CNCERT的監(jiān)測情況，境內(nèi)共有近600個網(wǎng)站被檢測發(fā)現(xiàn)仍有Ramnit惡意代碼駐留，其中涉及到的政府部門網(wǎng)站（.gov.cn域名）如下表所示：
| 攻擊路徑 | 網(wǎng)站名稱 |
|---|---|
| http://zclgj.gov.cn | 山東省淄博市淄川區(qū)委老干部局信息網(wǎng) |
| http://www.nhcg.gov.cn/webvision/ site/nanhe/index.html | 河北省南和縣城市行政執(zhí)法管理局網(wǎng)站 |
| http://www.gdyj.lss.gov.cn | 廣東省陽江市人力資源和社會保障局網(wǎng)站 |
| http://ms-fda.gov.cn | 四川省眉山市食品藥品監(jiān)督管理局網(wǎng)站 |
| http://www.bzqgaj.gov.cn | 四川省巴中市巴州區(qū)公安分局信息網(wǎng) |
| http://fgw.yc.gov.cn | 黑龍江省伊春市發(fā)展和改革委員會網(wǎng)站 |
根據(jù)CNCERT 2015年11月至2016年3月間的巡檢結(jié)果，境內(nèi)共計有約1250臺境內(nèi)WEB服務器被掛載過Ramnit惡意代碼，被入侵的服務器主要類型為Microsoft IIS（占比69.3%），其次是Apache系列服務器（占比19.2%）。
后續(xù)CNCERT將協(xié)調(diào)各地分中心重點處置涉及Ramnit掛馬的境內(nèi)黨政機關(guān)和企事業(yè)單位以及一些用戶量訪問較大的商業(yè)公司網(wǎng)站。建議IE瀏覽器用戶在訪問互聯(lián)網(wǎng)站時做好IE安全設置（建議設置為中-高安全級別），禁止執(zhí)行不明來源的ActiveX控件。
參考鏈接：
https://www.fireeye.com/blog/threat-research/2016/02/maimed_ramnit_still.html