RemcosRAT

Remcos RAT (троянски кон за отдалечен достъп) е сложен злонамерен софтуер, предназначен да проникне и контролира операционните системи Windows. Разработен и продаван от немска компания на име Breaking Security като легитимен инструмент за дистанционно управление и наблюдение, Remcos често е злоупотребяван от киберпрестъпници за злонамерени цели. Тази статия разглежда характеристиките, възможностите, въздействията и защитите, свързани с Remcos RAT, както и скорошни забележителни инциденти, включващи неговото внедряване.

Методи за внедряване и заразяване

Фишинг атаки
Remcos обикновено се разпространява чрез фишинг атаки, при които нищо неподозиращите потребители са подмамени да изтеглят и изпълняват злонамерени файлове. Тези фишинг имейли често съдържат:

Злонамерени ZIP файлове, маскирани като PDF файлове, твърдящи, че са фактури или поръчки.
Документи на Microsoft Office с вградени злонамерени макроси, предназначени да разположат злонамерения софтуер при активиране.

Техники за избягване
За да избегне откриването, Remcos използва усъвършенствани техники като:

• Инжектиране на процес или вдлъбване на процес : Този метод позволява на Remcos да се изпълни в рамките на легитимен процес, като по този начин се избягва откриването от антивирусен софтуер.
• Механизми за устойчивост : Веднъж инсталиран, Remcos гарантира, че остава активен, като използва механизми, които му позволяват да работи във фонов режим, скрит от потребителя.

Инфраструктура за командване и контрол (C2).

Основна възможност на Remcos е неговата функционалност за командване и управление (C2). Зловреден софтуер криптира своя комуникационен трафик по пътя към сървъра C2, което затруднява мерките за мрежова сигурност да прихванат и анализират данните. Remcos използва Distributed DNS (DDNS), за да създаде множество домейни за своите C2 сървъри. Тази техника помага на злонамерения софтуер да избегне защитите за сигурност, които разчитат на филтриране на трафика към известни злонамерени домейни, повишавайки неговата устойчивост и устойчивост.

Възможности на Remcos RAT

Remcos RAT е мощен инструмент, който предлага многобройни възможности на нападателите, позволявайки широк контрол и експлоатация на заразени системи:

Привилегия надморска височина
Remcos може да получи права на администратор на заразена система, което му позволява да:

• Деактивирайте контрола на потребителските акаунти (UAC).
• Изпълнявайте различни злонамерени функции с повишени привилегии.

Укриване на отбраната
Използвайки инжектиране на процес, Remcos се вгражда в легитимни процеси, което го прави предизвикателство за антивирусния софтуер за откриване. Освен това способността му да работи във фонов режим допълнително прикрива присъствието му от потребителите.

Събиране на данни

Remcos умее да събира широк набор от данни от заразената система, включително:

• Натискания на клавиши
• Екранни снимки
• Аудио записи
• Съдържание на клипборда
• Съхранени пароли

Въздействие на Remcos RAT инфекция

Последствията от инфекция с Remcos са значителни и многостранни, засягащи както отделни потребители, така и организации:

• Поглъщане на акаунт
  Чрез регистриране на натиснати клавиши и кражба на пароли, Remcos позволява на нападателите да превземат онлайн акаунти и други системи, което потенциално води до допълнителна кражба на данни и неоторизиран достъп в мрежата на организацията.
• Кражба на данни
  Remcos е в състояние да ексфилтрира чувствителни данни от заразената система. Това може да доведе до пробиви на данни, или директно от компрометирания компютър, или от други системи, достъпени чрез откраднати идентификационни данни.
• Последващи инфекции
  Инфекцията с Remcos може да служи като шлюз за внедряване на допълнителни варианти на зловреден софтуер. Това увеличава риска от последващи атаки, като инфекции с ransomware, което допълнително влошава щетите.

Защита срещу зловреден софтуер Remcos

Организациите могат да приемат няколко стратегии и най-добри практики за защита срещу инфекции с Remcos:

Сканиране на имейл
Внедряването на решения за сканиране на имейли, които идентифицират и блокират подозрителни имейли, може да предотврати първоначалното доставяне на Remcos до входящите кутии на потребителите.

Анализ на домейна
Наблюдението и анализирането на записите на домейни, поискани от крайните точки, може да помогне за идентифициране и блокиране на млади или подозрителни домейни, които може да са свързани с Remcos.

Анализ на мрежовия трафик
Вариантите на Remcos, които криптират своя трафик с помощта на нестандартни протоколи, могат да бъдат открити чрез анализ на мрежовия трафик, който може да маркира необичайни модели на трафик за по-нататъшно разследване.

Сигурност на крайната точка
Внедряването на решения за сигурност на крайни точки с възможност за откриване и отстраняване на инфекции с Remcos е от решаващо значение. Тези решения разчитат на установени индикатори за компрометиране, за да идентифицират и неутрализират зловреден софтуер.

Експлоатация на CrowdStrike Outage

При скорошен инцидент киберпрестъпниците се възползваха от световно прекъсване на работата на фирмата за киберсигурност CrowdStrike, за да разпространяват Remcos RAT. Нападателите са се насочили към клиентите на CrowdStrike в Латинска Америка, като са разпространили ZIP архивен файл с име „crowdstrike-hotfix.zip“. Този файл съдържа програма за зареждане на злонамерен софтуер, Hijack Loader, която впоследствие стартира полезния товар Remcos RAT.

ZIP архивът включва текстов файл („instrucciones.txt“) с инструкции на испански език, призовавайки целите да стартират изпълним файл („setup.exe“), за да се възстанови от проблема. Използването на испански имена на файлове и инструкции показва целенасочена кампания, насочена към базирани в Латинска Америка клиенти на CrowdStrike.

Заключение

Remcos RAT е мощен и многофункционален зловреден софтуер, който представлява значителна заплаха за Windows системите. Способността му да избягва откриването, да получава повишени привилегии и да събира обширни данни го прави предпочитан инструмент сред киберпрестъпниците. Като разбират неговите методи за внедряване, възможности и въздействия, организациите могат по-добре да се защитават срещу този злонамерен софтуер. Прилагането на стабилни мерки за сигурност и запазването на бдителност срещу фишинг атаки са ключови стъпки за смекчаване на риска, породен от Remcos RAT.

SpyHunter открива и премахва RemcosRAT

RemcosRAT видео

Съвет: Вклучите звука игледайте видеото в режим на цял екран.