RemcosRAT

Remcos RAT (Remote Access Trojan) yra sudėtinga kenkėjiška programa, skirta įsiskverbti ir valdyti Windows operacines sistemas. Remcos, kurį sukūrė ir parduoda Vokietijos įmonė Breaking Security kaip teisėtą nuotolinio valdymo ir stebėjimo įrankį, kibernetiniai nusikaltėliai dažnai piktnaudžiauja piktybiniais tikslais. Šiame straipsnyje aptariamos su Remcos RAT susijusios savybės, galimybės, poveikis ir apsauga, taip pat naujausi reikšmingi incidentai, susiję su jo diegimu.

Diegimo ir užsikrėtimo metodai

Sukčiavimo išpuoliai
Remcos paprastai platinamas per sukčiavimo atakas, kurių metu nieko neįtariantys vartotojai yra apgaudinėjami atsisiųsti ir vykdyti kenkėjiškus failus. Šiuose sukčiavimo el. laiškuose dažnai yra:

Kenkėjiški ZIP failai, užmaskuoti kaip PDF, teigiantys, kad tai sąskaitos faktūros arba užsakymai.
„Microsoft Office“ dokumentai su įterptomis kenkėjiškomis makrokomandomis, skirtomis kenkėjiškoms programoms įdiegti suaktyvinus.

Vengimo būdai
Kad išvengtų aptikimo, Remcos naudoja pažangias technologijas, tokias kaip:

• Proceso įpurškimas arba proceso tuščiaviduris : šis metodas leidžia Remcos vykdyti teisėtą procesą, taip išvengiant antivirusinės programinės įrangos aptikimo.
• Patvarumo mechanizmai : įdiegus, Remcos užtikrina, kad jis išliktų aktyvus, naudodamas mechanizmus, leidžiančius veikti fone, paslėptas nuo vartotojo.

Komandų ir valdymo (C2) infrastruktūra

Pagrindinė Remcos galimybė yra jos komandų ir valdymo (C2) funkcija. Kenkėjiška programa užšifruoja savo ryšio srautą pakeliui į C2 serverį, todėl tinklo saugumo priemonėms sunku perimti ir analizuoti duomenis. Remcos naudoja paskirstytą DNS (DDNS), kad sukurtų kelis domenus savo C2 serveriams. Ši technika padeda kenkėjiškoms programoms išvengti saugos priemonių, kurios priklauso nuo srauto filtravimo į žinomus kenkėjiškus domenus, taip padidinant jos atsparumą ir patvarumą.

Remcos RAT galimybės

Remcos RAT yra galingas įrankis, kuris užpuolikams siūlo daugybę galimybių, leidžiančių plačiai kontroliuoti ir išnaudoti užkrėstas sistemas:

Privilegijų pakėlimas
Remcos gali gauti administratoriaus teises užkrėstoje sistemoje, leidžiančią:

• Išjungti vartotojo abonemento valdymą (UAC).
• Vykdykite įvairias kenkėjiškas funkcijas su padidintomis privilegijomis.

Gynybos išsisukinėjimas
Naudodama proceso injekciją, Remcos įsilieja į teisėtus procesus, todėl antivirusinei programinei įrangai sunku aptikti. Be to, jo galimybė veikti fone dar labiau slepia savo buvimą nuo vartotojų.

Duomenų rinkimas

Remcos geba rinkti įvairius duomenis iš užkrėstos sistemos, įskaitant:

• Klavišų paspaudimai
• Ekrano nuotraukos
• Garso įrašai
• Iškarpinės turinys
• Išsaugoti slaptažodžiai

Remcos RAT infekcijos poveikis

Remcos infekcijos pasekmės yra reikšmingos ir daugialypės, turinčios įtakos tiek individualiems vartotojams, tiek organizacijoms:

• Paskyros perėmimas
  Registruodama klavišų paspaudimus ir vogdama slaptažodžius, Remcos leidžia užpuolikams perimti internetines paskyras ir kitas sistemas, o tai gali sukelti tolesnę duomenų vagystę ir neteisėtą prieigą organizacijos tinkle.
• Duomenų vagystė
  Remcos gali išfiltruoti slaptus duomenis iš užkrėstos sistemos. Dėl to galimi duomenų pažeidimai tiesiogiai iš pažeisto kompiuterio arba iš kitų sistemų, prie kurių prisijungta naudojant pavogtus kredencialus.
• Tolesnės infekcijos
  „Remcos“ infekcija gali būti kaip vartai diegti papildomus kenkėjiškų programų variantus. Tai padidina vėlesnių atakų, pvz., išpirkos reikalaujančios programinės įrangos infekcijų, riziką, o tai dar labiau padidina žalą.

Apsauga nuo Remcos kenkėjiškų programų

Organizacijos, siekdamos apsisaugoti nuo Remcos infekcijų, gali taikyti keletą strategijų ir geriausios praktikos:

El. pašto nuskaitymas
Įdiegę el. pašto nuskaitymo sprendimus, kurie identifikuoja ir blokuoja įtartinus el. laiškus, gali užkirsti kelią pirminiam Remcos pristatymui į vartotojų pašto dėžutes.

Domeno analizė
Galinių taškų reikalaujamų domeno įrašų stebėjimas ir analizė gali padėti nustatyti ir blokuoti jaunus ar įtartinus domenus, kurie gali būti susieti su Remcos.

Tinklo srauto analizė
Remcos variantai, šifruojantys srautą naudojant nestandartinius protokolus, gali būti aptikti atliekant tinklo srauto analizę, kuri gali pažymėti neįprastus srauto modelius tolesniam tyrimui.

Endpoint Security
Labai svarbu įdiegti galutinio taško saugos sprendimus, galinčius aptikti ir ištaisyti Remcos infekcijas. Šie sprendimai remiasi nustatytais kompromiso rodikliais, siekiant nustatyti ir neutralizuoti kenkėjišką programą.

„CrowdStrike“ nutraukimo išnaudojimas

Neseniai įvykusio incidento metu kibernetiniai nusikaltėliai pasinaudojo pasauliniu kibernetinio saugumo įmonės „CrowdStrike“ veiklos sutrikimu, kad platintų Remcos RAT. Užpuolikai nusitaikė į „CrowdStrike“ klientus Lotynų Amerikoje, platindami ZIP archyvo failą pavadinimu „crowdstrike-hotfix.zip“. Šiame faile buvo kenkėjiškų programų įkroviklis Hijack Loader, kuris vėliau paleido Remcos RAT naudingąjį apkrovą.

Į ZIP archyvą buvo įtrauktas tekstinis failas („instrucciones.txt“) su instrukcijomis ispanų kalba, raginantis taikinius paleisti vykdomąjį failą („setup.exe“), kad būtų galima tariamai ištaisyti problemą. Ispaniškų failų pavadinimų ir instrukcijų naudojimas rodo tikslinę kampaniją, skirtą Lotynų Amerikoje įsikūrusiems „CrowdStrike“ klientams.

Išvada

Remcos RAT yra galinga ir universali kenkėjiška programa, kelianti didelę grėsmę Windows sistemoms. Dėl galimybės išvengti aptikimo, įgyti daugiau privilegijų ir rinkti didelius duomenis, jis yra mėgstamas įrankis tarp kibernetinių nusikaltėlių. Suprasdamos jos diegimo metodus, galimybes ir poveikį, organizacijos gali geriau apsisaugoti nuo šios kenkėjiškos programinės įrangos. Tvirtas saugumo priemonių įgyvendinimas ir budrumas prieš sukčiavimo atakas yra esminiai žingsniai mažinant Remcos RAT keliamą riziką.

„SpyHunter“ aptinka ir pašalina RemcosRAT

RemcosRAT vaizdo įrašas

Patarimas: ĮJUNKITE garsą ir žiūrėkite vaizdo įrašą viso ekrano režimu .