מסד נתונים של איומים סוסים טרויאנים RemcosRAT

RemcosRAT

עד CagedTech ב-סוסים טרויאנים, כלי ניהול מרחוק
פורסם:
עודכן לאחרונה:

כרטיס ניקוד איומים

דירוג פופולריות: 3,192
רמת איום: 80 % (גָבוֹהַ)
מחשבים נגועים: 26,970
נראה לראשונה: October 16, 2016
נראה לאחרונה: October 28, 2026
מערכת הפעלה מושפעת: Windows

Remcos RAT (Trojan Access Remote Trojan) הוא תוכנה זדונית מתוחכמת שנועדה לחדור ולשלוט במערכות ההפעלה של Windows. שפותחה ונמכרת על ידי חברה גרמנית בשם Breaking Security ככלי לגיטימי של שלט ומעקב מרחוק, Remcos מנוצלת לעתים קרובות על ידי פושעי סייבר למטרות זדוניות. מאמר זה מתעמק במאפיינים, היכולות, ההשפעות וההגנות הקשורות ל- Remcos RAT, כמו גם באירועים בולטים אחרונים הקשורים לפריסתו.

שיטות פריסה וזיהום

התקפות דיוג
Remcos מופץ בדרך כלל באמצעות התקפות פישינג, שבהן משתמשים תמימים מורמות להורדה וביצוע של קבצים זדוניים. הודעות דוא"ל דיוג אלה מכילות לעתים קרובות:

קובצי ZIP זדוניים המחופשים לקובצי PDF, הטוענים שהם חשבוניות או הזמנות.
מסמכי Microsoft Office עם פקודות מאקרו זדוניות משובצות שנועדו לפרוס את התוכנה הזדונית עם ההפעלה.

טכניקות התחמקות
כדי להתחמק מגילוי, Remcos משתמשת בטכניקות מתקדמות כגון:

  • הזרקת תהליכים או חלילת תהליכים : שיטה זו מאפשרת ל-Remcos לבצע תהליך לגיטימי, ובכך להימנע מזיהוי על ידי תוכנת אנטי-וירוס.
  • מנגנוני התמדה : לאחר ההתקנה, Remcos מבטיח שהוא יישאר פעיל על ידי שימוש במנגנונים המאפשרים לו לפעול ברקע, מוסתר מהמשתמש.

תשתית פיקוד ושליטה (C2).

יכולת הליבה של Remcos היא פונקציונליות ה-Command-and-Control (C2) שלה. התוכנה הזדונית מצפינה את תעבורת התקשורת שלה בדרך לשרת C2, מה שמקשה על אמצעי אבטחת הרשת ליירט ולנתח את הנתונים. Remcos משתמשת ב-DNS מבוזר (DDNS) כדי ליצור דומיינים מרובים עבור שרתי ה-C2 שלה. טכניקה זו מסייעת לתוכנות זדוניות לחמוק מהגנות אבטחה המסתמכות על סינון תעבורה לדומיינים זדוניים ידועים, תוך שיפור עמידותה והתמדה שלה.

יכולות של Remcos RAT

Remcos RAT הוא כלי רב עוצמה המציע יכולות רבות לתוקפים, המאפשר שליטה וניצול נרחבים של מערכות נגועות:

גובה הרשאות
Remcos יכולה לקבל הרשאות מנהל במערכת נגועה, מה שמאפשר לה:

  • השבת את בקרת חשבון משתמש (UAC).
  • בצע פונקציות זדוניות שונות עם הרשאות גבוהות.

התחמקות מהגנה
על ידי שימוש בהזרקת תהליכים, Remcos מטמיע את עצמה בתוך תהליכים לגיטימיים, מה שהופך את זה למאתגר עבור תוכנת אנטי-וירוס לזהות. בנוסף, היכולת שלו לרוץ ברקע מסתירה עוד יותר את נוכחותו מהמשתמשים.

איסוף נתונים

Remcos מיומנת באיסוף מגוון רחב של נתונים מהמערכת הנגועה, כולל:

  • הקשות
  • צילומי מסך
  • הקלטות אודיו
  • תוכן הלוח
  • סיסמאות מאוחסנות

ההשפעה של זיהום RAT של Remcos

ההשלכות של זיהום Remcos הן משמעותיות ורב-גוניות, ומשפיעות הן על משתמשים בודדים והן על ארגונים:

  • השתלטות על חשבון
    על ידי רישום הקשות וגניבת סיסמאות, Remcos מאפשרת לתוקפים להשתלט על חשבונות מקוונים ומערכות אחרות, מה שעלול להוביל לגניבת מידע נוספת וגישה לא מורשית בתוך הרשת של הארגון.
  • גניבת נתונים
    Remcos מסוגלת לסנן נתונים רגישים מהמערכת הנגועה. זה יכול לגרום לפרצות נתונים, ישירות מהמחשב שנפגע או ממערכות אחרות שהגישה אליהן מתבצעת באמצעות אישורים גנובים.
  • דלקות המשך
    זיהום עם Remcos יכול לשמש שער לפריסת גרסאות תוכנות זדוניות נוספות. זה מגביר את הסיכון להתקפות עוקבות, כמו זיהומים של תוכנות כופר, מה שמחמיר עוד יותר את הנזק.

הגנה מפני תוכנות זדוניות של Remcos

ארגונים יכולים לאמץ מספר אסטרטגיות ושיטות עבודה מומלצות להגנה מפני זיהומי Remcos:

סריקת דואר אלקטרוני
הטמעת פתרונות סריקת דואר אלקטרוני המזהים וחוסמים מיילים חשודים יכולים למנוע את המסירה הראשונית של Remcos לתיבות הדואר הנכנס של המשתמשים.

ניתוח תחום
ניטור וניתוח של רשומות דומיינים המתבקשות על ידי נקודות קצה יכולים לעזור לזהות ולחסום דומיינים צעירים או חשודים שעלולים להיות משויכים ל- Remcos.

ניתוח תנועה ברשת
ניתן לזהות גרסאות של Remcos המצפינות את התעבורה שלהן באמצעות פרוטוקולים לא סטנדרטיים באמצעות ניתוח תעבורת רשת, שיכול לסמן דפוסי תעבורה חריגים לחקירה נוספת.

אבטחת נקודות קצה
פריסת פתרונות אבטחה של נקודות קצה עם היכולת לזהות ולתקן זיהומים של Remcos היא חיונית. פתרונות אלה מסתמכים על אינדיקטורים מבוססים של פשרה כדי לזהות ולנטרל את התוכנה הזדונית.

ניצול הפסקת CrowdStrike

בתקרית לאחרונה, פושעי סייבר ניצלו הפסקה עולמית של חברת אבטחת הסייבר CrowdStrike כדי להפיץ את Remcos RAT. התוקפים כוונו ללקוחות CrowdStrike באמריקה הלטינית על ידי הפצת קובץ ארכיון ZIP בשם 'crowdstrike-hotfix.zip'. קובץ זה הכיל מטעין תוכנות זדוניות, Hijack Loader, שהשיק לאחר מכן את מטען Remcos RAT.

ארכיון ה-ZIP כלל קובץ טקסט ('instrucciones.txt') עם הוראות בשפה הספרדית, שקורא למטרות להפעיל קובץ הפעלה ('setup.exe') כדי להתאושש כביכול מהבעיה. השימוש בשמות קבצים ובהוראות ספרדיות מצביע על קמפיין ממוקד המכוון ללקוחות CrowdStrike שבסיסם באמריקה הלטינית.

סיכום

Remcos RAT הוא תוכנה זדונית חזקה ורב-תכליתית המהווה איום משמעותי על מערכות Windows. היכולת שלו להתחמק מגילוי, להשיג הרשאות גבוהות ולאסוף נתונים נרחבים הופכת אותו לכלי מועדף בקרב פושעי סייבר. על ידי הבנת שיטות הפריסה, היכולות וההשפעות שלה, ארגונים יכולים להתגונן טוב יותר מפני תוכנה זדונית זו. יישום אמצעי אבטחה חזקים ושמירה על ערנות מפני התקפות דיוג הם צעדים חיוניים בהפחתת הסיכון הנשקף מ- Remcos RAT.

SpyHunter מזהה והסר RemcosRAT

RemcosRAT וידאו

טיפ: הפעל הקול שלך ON ולצפות בסרטון במצב של מסך מלא.

פרטי מערכת הקבצים

RemcosRAT עשוי ליצור את הקבצים הבאים:
הרחב הכל | למוטט הכל
# שם קובץ MD5 זיהויים
1. 7g1cq51137eqs.exe aeca465c269f3bd7b5f67bc9da8489cb 83
2. 321.exe d435cebd8266fa44111ece457a1bfba1 45
3. windslfj.exe 968650761a5d13c26197dbf26c56552a 5
4. Legit Program.exe cd2c23deea7f1eb6b19a42fd3affb0ee 3
5. unseen.exe d8cff8ec41992f25ef3127e32e379e3b 2
6. file.exe c41f7add0295861e60501373d87d586d 1
7. e12cd6fe497b42212fa8c9c19bf51088 e12cd6fe497b42212fa8c9c19bf51088 0
8. 50a62912a3a282b1b11f78f23d0e5906 50a62912a3a282b1b11f78f23d0e5906 0
קבצים נוספים

פרטי הרישום

RemcosRAT עשוי ליצור את ערך הרישום או את ערכי הרישום הבאים:
Regexp file mask
%APPDATA%\aitagent\aitagent.exe
%APPDATA%\Analysernes1.exe
%APPDATA%\Audiohd.exe
%APPDATA%\Bagsmks8.exe
%APPDATA%\Behandlingens[RANDOM CHARACTERS].exe
%APPDATA%\Brnevrelser[RANDOM CHARACTERS].exe
%appdata%\calc.exe
%APPDATA%\chrome\chrome.exe
%APPDATA%\deseret.pif
%APPDATA%\explorer\explore.exe
%APPDATA%\Extortioner.exe
%APPDATA%\firewall.exe
%APPDATA%\foc\foc.exe
%APPDATA%\Holmdel8.exe
%APPDATA%\Install\laeu.exe
%APPDATA%\Irenas.exe
%APPDATA%\Javaw\Javaw.exe
%APPDATA%\Machree[RANDOM CHARACTERS].exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firewall.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Holmdel8.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Legit Program.exe
%APPDATA%\Mozila\Mozila.exe
%APPDATA%\newremcos.exe
%APPDATA%\remcos.exe
%APPDATA%\SearchUI.exe
%APPDATA%\Smartse\smartse.exe
%AppData%\spoolsv.exe
%APPDATA%\System\logs.dat
%APPDATA%\Tornlst.exe
%APPDATA%\WindowsDefender\WindowsDefender.exe
%PROGRAMFILES%\AppData\drivers.exe
%TEMP%\Name of the melted file.exe
%WINDIR%\System32\remcomsvc.exe
%WINDIR%\SysWOW64\remcomsvc.exe
HKEY..\..\..\..{RegistryKeys}
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\remcos
SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\remcos

מדריכים

RemcosRAT עשוי ליצור את הספרייה או הספריות הבאות:

%ALLUSERSPROFILE%\task manager
%APPDATA%\Badlion
%APPDATA%\Extress
%APPDATA%\GoogleChrome
%APPDATA%\JagexLIVE
%APPDATA%\Remc
%APPDATA%\Shockwave
%APPDATA%\appdata
%APPDATA%\googlecrome
%APPDATA%\hyerr
%APPDATA%\loader
%APPDATA%\pdf
%APPDATA%\remcoco
%APPDATA%\ujmcos
%APPDATA%\verify
%APPDATA%\windir
%AppData%\remcos
%PROGRAMFILES(x86)%\Microsft Word
%TEMP%\commonafoldersz
%TEMP%\remcos
%Userprofile%\remcos
%WINDIR%\SysWOW64\Adobe Inc
%WINDIR%\SysWOW64\remcos
%WINDIR%\SysWOW64\skype
%WINDIR%\System32\rel
%WINDIR%\System32\remcos
%WINDIR%\notepad++
%WINDIR%\remcos

דוח ניתוח

מידע כללי

שֵׁם מִשׁפָּחָה: Trojan.RemcosRAT
סטטוס חתימה: No Signature

דוגמאות ידועות

MD5: b629b4b2de416b18b7f164960c705376
SHA1: bda1a71e87dcbdac25c0f017a60649bd9f1cd77a
SHA256: 3E47437FAEA7C2A72B93711AF831912E05716EF01C282ACD4B158C1E436D4F36
גודל הקובץ: 4.50 MB , 4497920 בייט

תכונות הרצה של Windows Portable

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

תכונות קובץ

  • No Version Info
  • ntdll
  • x64

מידע חסום

סך כל הבלוקים: 5,806
חסימות שעלולות להיות זדוניות: 986
בלוקים ברשימה הלבנה: 4,471
בלוקים לא ידועים: 349

מפה חזותית

... הנתונים נקטעו
0 - חסימה בטוחה אפשרית
? - בלוק לא ידוע
x - חסימה שעלולה להיות זדונית

שימוש ב-API של Windows

קָטֵגוֹרִיָה ממשק API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
Show 26 more
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletion
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Network Winsock2
  • WSASocket
  • WSAStartup
Network Winsock
  • closesocket
  • connect
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Cert Store Read
  • CertOpenStore