RemcosRAT

Remcos RAT (Remote Access Trojan) on keerukas pahavara, mis on loodud Windowsi operatsioonisüsteemidesse imbumiseks ja nende juhtimiseks. Saksa ettevõtte Breaking Security poolt välja töötatud ja müüdud seadusliku kaugjuhtimis- ja seirevahendina kuritarvitavad küberkurjategijad sageli Remcost pahatahtlikel eesmärkidel. Selles artiklis käsitletakse Remcos RAT-iga seotud omadusi, võimalusi, mõjusid ja kaitsemehhanisme ning hiljutisi märkimisväärseid juhtumeid, mis on seotud selle kasutuselevõtuga.

Kasutus- ja nakatamismeetodid

Andmepüügirünnakud
Remcos levitatakse tavaliselt andmepüügirünnakute kaudu, mille käigus meelitatakse pahaaimamatuid kasutajaid alla laadima ja käivitama pahatahtlikke faile. Need andmepüügimeilid sisaldavad sageli järgmist:

Pahatahtlikud ZIP-failid, mis on maskeeritud PDF-failidena ja väidavad, et need on arved või tellimused.
Manustatud pahatahtlike makrodega Microsoft Office'i dokumendid, mis on loodud pahavara juurutamiseks pärast aktiveerimist.

Kõrvalehoidmise tehnikad
Tuvastamisest kõrvalehoidmiseks kasutab Remcos täiustatud tehnikaid, näiteks:

• Protsessi sisestamine või protsessi õõnestamine : see meetod võimaldab Remcosil käitada seadusliku protsessi raames, vältides sellega viirusetõrjetarkvara tuvastamist.
• Püsivusmehhanismid : pärast installimist tagab Remcos, et see jääb aktiivseks, kasutades mehhanisme, mis võimaldavad sellel kasutaja eest varjatult taustal töötada.

Käskude ja juhtimise (C2) infrastruktuur

Remcose põhiomadus on selle käsu- ja juhtimisfunktsioon (C2). Pahavara krüpteerib oma sideliikluse teel C2 serverisse, muutes võrgu turvameetmete jaoks andmete pealtkuulamise ja analüüsimise keeruliseks. Remcos kasutab oma C2-serverite jaoks mitme domeeni loomiseks hajutatud DNS-i (DDNS). See meetod aitab pahavaral vältida turvakaitseid, mis sõltuvad liikluse filtreerimisest teadaolevatesse pahatahtlikesse domeenidesse, suurendades selle vastupidavust ja püsivust.

Remcos RATi võimalused

Remcos RAT on võimas tööriist, mis pakub ründajatele mitmeid võimalusi, võimaldades nakatunud süsteemide ulatuslikku kontrolli ja kasutamist:

Privileegide tõus
Remcos võib hankida nakatunud süsteemis administraatoriõigused, võimaldades tal:

• Keela kasutajakonto kontroll (UAC).
• Käivitage kõrgendatud õigustega mitmesuguseid pahatahtlikke funktsioone.

Kaitsest kõrvalehoidmine
Protsessisüsti kasutades integreerib Remcos end seaduslikesse protsessidesse, muutes viirusetõrjetarkvara tuvastamise keeruliseks. Lisaks varjab selle taustal töötamine kasutajate eest veelgi enam selle kohalolekut.

Andmete kogumine

Remcos on osav koguma nakatunud süsteemist mitmesuguseid andmeid, sealhulgas:

• Klahvivajutused
• Ekraanipildid
• Helisalvestised
• Lõikepuhvri sisu
• Salvestatud paroolid

Remcos RAT-i infektsiooni mõju

Remcose nakkuse tagajärjed on olulised ja mitmetahulised, mõjutades nii üksikkasutajaid kui ka organisatsioone:

• Konto ülevõtmine
  Klahvivajutuste logimise ja paroolide varastamise kaudu võimaldab Remcos ründajatel võrgukontosid ja muid süsteeme üle võtta, mis võib viia täiendava andmete varguseni ja volitamata juurdepääsuni organisatsiooni võrgus.
• Andmete vargus
  Remcos on võimeline nakatunud süsteemist tundlikke andmeid välja filtreerima. See võib põhjustada andmetega seotud rikkumisi kas otse ohustatud arvutist või muudest süsteemidest, millele pääseb juurde varastatud mandaatide abil.
• Järelinfektsioonid
  Remcosega nakatumine võib olla värav täiendavate pahavaravariantide juurutamiseks. See suurendab järgnevate rünnakute, näiteks lunavaranakkuste ohtu, suurendades kahju veelgi.

Kaitse Remcosi pahavara eest

Organisatsioonid võivad Remcos-nakkuste eest kaitsmiseks kasutada mitmeid strateegiaid ja parimaid tavasid:

Meili skannimine
Kahtlaste meilide tuvastamise ja blokeerimise e-kirjade skannimise lahenduste rakendamine võib takistada Remcode esmast tarnimist kasutajate postkasti.

Domeeni analüüs
Lõpp-punktide taotletud domeenikirjete jälgimine ja analüüs võib aidata tuvastada ja blokeerida noori või kahtlasi domeene, mis võivad olla seotud Remcosega.

Võrguliikluse analüüs
Remcosi variante, mis krüpteerivad oma liiklust mittestandardsete protokollidega, saab tuvastada võrguliikluse analüüsi abil, mis võib edasiseks uurimiseks märgistada ebatavalised liiklusmustrid.

Lõpp-punkti turvalisus
Ülioluline on Remcosi nakkuste tuvastamise ja kõrvaldamise võimega lõpp-punkti turbelahenduste juurutamine. Need lahendused tuginevad pahavara tuvastamiseks ja neutraliseerimiseks väljakujunenud kompromissinäitajatel.

CrowdStrike'i katkestuse ärakasutamine

Hiljutises intsidendis kasutasid küberkurjategijad Remcos RATi levitamiseks ära küberturbefirma CrowdStrike ülemaailmset katkestust. Ründajad võtsid sihikule CrowdStrike'i kliendid Ladina-Ameerikas, levitades ZIP-arhiivifaili nimega "crowdstrike-hotfix.zip". See fail sisaldas pahavara laadijat Hijack Loader, mis seejärel käivitas Remcos RAT kasuliku koormuse.

ZIP-arhiiv sisaldas tekstifaili ('instrucciones.txt') hispaaniakeelsete juhistega, kutsudes sihtmärke üles käivitama käivitatavat faili ('setup.exe'), et väidetavalt probleemist taastuda. Hispaaniakeelsete failinimede ja juhiste kasutamine viitab sihitud kampaaniale, mis on suunatud Ladina-Ameerikas asuvatele CrowdStrike'i klientidele.

Järeldus

Remcos RAT on võimas ja mitmekülgne pahavara, mis kujutab Windowsi süsteemidele märkimisväärset ohtu. Selle võime avastamisest kõrvale hiilida, kõrgendatud õigusi omandada ja ulatuslikke andmeid koguda muudab selle küberkurjategijate seas eelistatud tööriistaks. Mõistes selle juurutusmeetodeid, võimalusi ja mõjusid, saavad organisatsioonid selle ründetarkvara eest paremini kaitsta. Tugevate turvameetmete rakendamine ja andmepüügirünnakute suhtes valvsus on Remcos RAT-i tekitatud riskide vähendamisel üliolulised sammud.

SpyHunter tuvastab ja eemaldab RemcosRAT

RemcosRAT Video

Näpunäide. Lülitage heli sisse ja vaadake videot täisekraanirežiimis .