खतरा डाटाबेस ट्रोजन RemcosRAT

RemcosRAT

ट्रोजन, रिमोट प्रशासन उपकरणहरू मा CagedTech सम्म
प्रकाशित:
पछिल्लो पटक अपडेट गरिएको:

थ्रेट स्कोरकार्ड

लोकप्रियता श्रेणी: 3,192
खतरा स्तर: 80 % (उच्च)
संक्रमित कम्प्युटरहरू: 26,970
पहिलो पटक देखियो: October 16, 2016
पछिल्लो पटक हेरिएको: October 28, 2026
OS(es) प्रभावित: Windows

Remcos RAT (रिमोट एक्सेस ट्रोजन) विन्डोज अपरेटिङ सिस्टमहरूमा घुसपैठ र नियन्त्रण गर्न डिजाइन गरिएको एक परिष्कृत मालवेयर हो। एक वैध रिमोट कन्ट्रोल र निगरानी उपकरणको रूपमा ब्रेकिङ सेक्युरिटी नामको जर्मन कम्पनीद्वारा विकसित र बिक्री गरिएको, रेम्कोसलाई साइबर अपराधीहरूले प्रायः खराब उद्देश्यका लागि दुरुपयोग गरेको छ। यस लेखले Remcos RAT सँग सम्बन्धित विशेषताहरू, क्षमताहरू, प्रभावहरू, र प्रतिरक्षाहरू, साथै हालैका उल्लेखनीय घटनाहरू समावेश गर्दछ।

तैनाती र संक्रमण विधिहरू

फिसिङ आक्रमणहरू
Remcos लाई सामान्यतया फिसिङ आक्रमणहरू मार्फत वितरित गरिन्छ, जसमा शंकास्पद प्रयोगकर्ताहरूलाई खराब फाइलहरू डाउनलोड गर्न र कार्यान्वयन गर्न धोका दिइन्छ। यी फिसिङ इमेलहरू प्रायः समावेश हुन्छन्:

इनभ्वाइस वा अर्डरहरू भनी दाबी गर्दै, PDF को रूपमा लुकेका खराब ZIP फाइलहरू।
सक्रियतामा मालवेयर डिप्लोय गर्न डिजाइन गरिएको इम्बेडेड मालिसियस म्याक्रोहरूसँग Microsoft Office कागजातहरू।

चोरी प्रविधिहरू
पत्ता लगाउनबाट बच्न, Remcos ले उन्नत प्रविधिहरू प्रयोग गर्दछ जस्तै:

  • प्रक्रिया इन्जेक्सन वा प्रक्रिया होलोइङ : यो विधिले रेम्कोसलाई वैध प्रक्रिया भित्र कार्यान्वयन गर्न अनुमति दिन्छ, जसले गर्दा एन्टिभाइरस सफ्टवेयरले पत्ता लगाउनबाट जोगिन सक्छ।
  • पर्सिस्टेन्स मेकानिज्महरू : एकपटक स्थापना भएपछि, Remcos ले प्रयोगकर्ताबाट लुकेको पृष्ठभूमिमा चल्न दिने मेकानिजमहरू प्रयोग गरेर सक्रिय रहने सुनिश्चित गर्दछ।

कमाण्ड र कन्ट्रोल (C2) पूर्वाधार

Remcos को मुख्य क्षमता यसको कमाण्ड-एन्ड-कन्ट्रोल (C2) कार्यक्षमता हो। मालवेयरले यसको संचार ट्राफिकलाई C2 सर्भरको बाटोमा इन्क्रिप्ट गर्दछ, यसले नेटवर्क सुरक्षा उपायहरूलाई डेटा अवरोध गर्न र विश्लेषण गर्न गाह्रो बनाउँछ। Remcos यसको C2 सर्भरहरूको लागि धेरै डोमेनहरू सिर्जना गर्न वितरित DNS (DDNS) प्रयोग गर्दछ। यस प्रविधीले मालवेयरलाई सुरक्षा सुरक्षाहरू जोगाउन मद्दत गर्दछ जुन ज्ञात मालिसियस डोमेनहरूमा ट्राफिक फिल्टर गर्नमा निर्भर हुन्छ, यसको लचिलोपन र दृढता बढाउँछ।

Remcos RAT को क्षमताहरू

Remcos RAT एक शक्तिशाली उपकरण हो जसले आक्रमणकारीहरूलाई धेरै क्षमताहरू प्रदान गर्दछ, व्यापक नियन्त्रण र संक्रमित प्रणालीहरूको शोषण सक्षम पार्दै:

विशेषाधिकार उचाइ
Remcos ले संक्रमित प्रणालीमा प्रशासक अनुमतिहरू प्राप्त गर्न सक्छ, यसलाई अनुमति दिँदै:

  • प्रयोगकर्ता खाता नियन्त्रण (UAC) असक्षम गर्नुहोस्।
  • उन्नत विशेषाधिकारहरूको साथ विभिन्न दुर्भावनापूर्ण कार्यहरू कार्यान्वयन गर्नुहोस्।

रक्षा चोरी
प्रक्रिया इन्जेक्सन प्रयोग गरेर, रेम्कोसले आफैलाई वैध प्रक्रियाहरू भित्र इम्बेड गर्दछ, यसलाई पत्ता लगाउन एन्टिभाइरस सफ्टवेयरको लागि चुनौतीपूर्ण बनाउँछ। थप रूपमा, यसको पृष्ठभूमिमा चल्ने क्षमताले प्रयोगकर्ताहरूबाट यसको उपस्थिति लुकाउँछ।

तथ्यांक संकलन

Remcos संक्रमित प्रणालीबाट डेटाको विस्तृत दायरा सङ्कलन गर्न माहिर छ, जसमा:

  • कीस्ट्रोकहरू
  • स्क्रिनसटहरू
  • अडियो रेकर्डिङ
  • क्लिपबोर्ड सामग्री
  • भण्डारण गरिएका पासवर्डहरू

Remcos RAT संक्रमणको प्रभाव

Remcos संक्रमणको नतिजाहरू महत्त्वपूर्ण र बहुमुखी हुन्छन्, जसले व्यक्तिगत प्रयोगकर्ताहरू र संस्थाहरूलाई असर गर्छ:

  • खाता टेकओभर
    किस्ट्रोकहरू लग इन गरेर र पासवर्डहरू चोरेर, Remcos ले आक्रमणकारीहरूलाई अनलाइन खाताहरू र अन्य प्रणालीहरू कब्जा गर्न सक्षम बनाउँछ, सम्भावित रूपमा थप डाटा चोरी र संगठनको नेटवर्क भित्र अनाधिकृत पहुँचको नेतृत्व गर्दछ।
  • डाटा चोरी
    Remcos संक्रमित प्रणालीबाट संवेदनशील डाटा निकाल्न सक्षम छ। यसले डेटा उल्लङ्घन गर्न सक्छ, या त सिधै सम्झौता गरिएको कम्प्युटरबाट वा चोरी प्रमाणहरू प्रयोग गरेर पहुँच गरिएका अन्य प्रणालीहरूबाट।
  • फलो-अन संक्रमणहरू
    Remcos सँगको संक्रमणले अतिरिक्त मालवेयर भेरियन्टहरू प्रयोग गर्नको लागि गेटवेको रूपमा काम गर्न सक्छ। यसले पछिका आक्रमणहरूको जोखिम बढाउँछ, जस्तै ransomware संक्रमणहरू, क्षतिलाई अझ बढाउँदै।

Remcos मालवेयर विरुद्ध सुरक्षा

Remcos संक्रमणहरू विरुद्ध सुरक्षा गर्न संगठनहरूले धेरै रणनीतिहरू र उत्तम अभ्यासहरू अपनाउन सक्छन्:

इमेल स्क्यानिङ
संदिग्ध इमेलहरू पहिचान र ब्लक गर्ने इमेल स्क्यानिङ समाधानहरू लागू गर्दा प्रयोगकर्ताहरूको इनबक्सहरूमा Remcos को प्रारम्भिक डेलिभरी रोक्न सक्छ।

डोमेन विश्लेषण
एन्डपोइन्टहरूद्वारा अनुरोध गरिएका डोमेन रेकर्डहरूको निगरानी र विश्लेषणले Remcos सँग सम्बन्धित युवा वा शंकास्पद डोमेनहरू पहिचान गर्न र ब्लक गर्न मद्दत गर्न सक्छ।

नेटवर्क ट्राफिक विश्लेषण
गैर-मानक प्रोटोकलहरू प्रयोग गरेर तिनीहरूको ट्राफिक इन्क्रिप्ट गर्ने Remcos भेरियन्टहरू नेटवर्क ट्राफिक विश्लेषण मार्फत पत्ता लगाउन सकिन्छ, जसले थप अनुसन्धानको लागि असामान्य ट्राफिक ढाँचाहरूलाई फ्ल्याग गर्न सक्छ।

अन्तिम बिन्दु सुरक्षा
Remcos संक्रमण पत्ता लगाउने र उपचार गर्ने क्षमताको साथ अन्तिम बिन्दु सुरक्षा समाधानहरू प्रयोग गर्नु महत्त्वपूर्ण छ। यी समाधानहरू मालवेयर पहिचान गर्न र बेअसर गर्न सम्झौताको स्थापित सूचकहरूमा भर पर्छन्।

क्राउडस्ट्राइक आउटेजको शोषण

भर्खरैको घटनामा, साइबर अपराधीहरूले Remcos RAT वितरण गर्न साइबर सुरक्षा फर्म CrowdStrike को विश्वव्यापी आउटेजको शोषण गरे। आक्रमणकारीहरूले 'crowdstrike-hotfix.zip' नामको ZIP अभिलेख फाइल वितरण गरेर ल्याटिन अमेरिकामा CrowdStrike ग्राहकहरूलाई लक्षित गरे। यो फाइलमा मालवेयर लोडर, हाइज्याक लोडर समावेश थियो, जसले पछि Remcos RAT पेलोड सुरु गर्यो।

जिप अभिलेखमा स्प्यानिश-भाषा निर्देशनहरू सहितको पाठ फाइल ('instrucciones.txt') समावेश थियो, लक्ष्यहरूलाई मुद्दाबाट कथित रूपमा पुन: प्राप्ति गर्न कार्यान्वयनयोग्य फाइल ('setup.exe') चलाउन आग्रह गर्दै। स्पेनिश फाइलनाम र निर्देशनहरूको प्रयोगले ल्याटिन अमेरिका-आधारित CrowdStrike ग्राहकहरूलाई लक्षित लक्षित अभियानलाई संकेत गर्दछ।

निष्कर्ष

Remcos RAT एक शक्तिशाली र बहुमुखी मालवेयर हो जसले विन्डोज प्रणालीहरूमा महत्त्वपूर्ण खतरा निम्त्याउँछ। पत्ता लगाउनबाट जोगिने, उन्नत विशेषाधिकारहरू प्राप्त गर्ने, र व्यापक डाटा सङ्कलन गर्ने क्षमताले यसलाई साइबर अपराधीहरूका बीचमा मनपर्ने उपकरण बनाउँछ। यसको तैनाती विधिहरू, क्षमताहरू, र प्रभावहरू बुझेर, संगठनहरूले यस दुर्भावनापूर्ण सफ्टवेयर विरुद्ध राम्रोसँग रक्षा गर्न सक्छन्। बलियो सुरक्षा उपायहरू लागू गर्नु र फिसिङ आक्रमणहरू विरुद्ध सतर्क रहनु Remcos RAT द्वारा निम्त्याउने जोखिम कम गर्न महत्त्वपूर्ण कदमहरू हुन्।

SpyHunter पत्ता लगाउँछ र RemcosRAT हटाउँछ

RemcosRAT भिडियो

सुझाव: आफ्नो आवाज खोल्नुहोस् र पूर्ण स्क्रिन मोडमा भिडियो हेर्नुहोस् ।

फाइल प्रणाली विवरणहरू

RemcosRAT ले निम्न फाइलहरू सिर्जना गर्न सक्छ:
सबै विस्तार गर्नुहोस् | सबै संक्षिप्त गर्नुहोस्
# फाइल नाम MD5 पत्ता लगाउने
1. 7g1cq51137eqs.exe aeca465c269f3bd7b5f67bc9da8489cb 83
2. 321.exe d435cebd8266fa44111ece457a1bfba1 45
3. windslfj.exe 968650761a5d13c26197dbf26c56552a 5
4. Legit Program.exe cd2c23deea7f1eb6b19a42fd3affb0ee 3
5. unseen.exe d8cff8ec41992f25ef3127e32e379e3b 2
6. file.exe c41f7add0295861e60501373d87d586d 1
7. e12cd6fe497b42212fa8c9c19bf51088 e12cd6fe497b42212fa8c9c19bf51088 0
8. 50a62912a3a282b1b11f78f23d0e5906 50a62912a3a282b1b11f78f23d0e5906 0
थप फाइलहरू

रजिस्ट्री विवरणहरू

RemcosRAT ले निम्न रजिस्ट्री प्रविष्टि वा रजिस्ट्री प्रविष्टिहरू सिर्जना गर्न सक्छ:
Regexp file mask
%APPDATA%\aitagent\aitagent.exe
%APPDATA%\Analysernes1.exe
%APPDATA%\Audiohd.exe
%APPDATA%\Bagsmks8.exe
%APPDATA%\Behandlingens[RANDOM CHARACTERS].exe
%APPDATA%\Brnevrelser[RANDOM CHARACTERS].exe
%appdata%\calc.exe
%APPDATA%\chrome\chrome.exe
%APPDATA%\deseret.pif
%APPDATA%\explorer\explore.exe
%APPDATA%\Extortioner.exe
%APPDATA%\firewall.exe
%APPDATA%\foc\foc.exe
%APPDATA%\Holmdel8.exe
%APPDATA%\Install\laeu.exe
%APPDATA%\Irenas.exe
%APPDATA%\Javaw\Javaw.exe
%APPDATA%\Machree[RANDOM CHARACTERS].exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firewall.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Holmdel8.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Legit Program.exe
%APPDATA%\Mozila\Mozila.exe
%APPDATA%\newremcos.exe
%APPDATA%\remcos.exe
%APPDATA%\SearchUI.exe
%APPDATA%\Smartse\smartse.exe
%AppData%\spoolsv.exe
%APPDATA%\System\logs.dat
%APPDATA%\Tornlst.exe
%APPDATA%\WindowsDefender\WindowsDefender.exe
%PROGRAMFILES%\AppData\drivers.exe
%TEMP%\Name of the melted file.exe
%WINDIR%\System32\remcomsvc.exe
%WINDIR%\SysWOW64\remcomsvc.exe
HKEY..\..\..\..{RegistryKeys}
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\remcos
SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\remcos

निर्देशिकाहरू

RemcosRAT ले निम्न डाइरेक्टरी वा डाइरेक्टरीहरू सिर्जना गर्न सक्छ:

%ALLUSERSPROFILE%\task manager
%APPDATA%\Badlion
%APPDATA%\Extress
%APPDATA%\GoogleChrome
%APPDATA%\JagexLIVE
%APPDATA%\Remc
%APPDATA%\Shockwave
%APPDATA%\appdata
%APPDATA%\googlecrome
%APPDATA%\hyerr
%APPDATA%\loader
%APPDATA%\pdf
%APPDATA%\remcoco
%APPDATA%\ujmcos
%APPDATA%\verify
%APPDATA%\windir
%AppData%\remcos
%PROGRAMFILES(x86)%\Microsft Word
%TEMP%\commonafoldersz
%TEMP%\remcos
%Userprofile%\remcos
%WINDIR%\SysWOW64\Adobe Inc
%WINDIR%\SysWOW64\remcos
%WINDIR%\SysWOW64\skype
%WINDIR%\System32\rel
%WINDIR%\System32\remcos
%WINDIR%\notepad++
%WINDIR%\remcos

विश्लेषण रिपोर्ट

सामान्य जानकारी

पारिवारिक नाम: Trojan.RemcosRAT
हस्ताक्षर स्थिति: No Signature

ज्ञात नमूनाहरू

MD5: b629b4b2de416b18b7f164960c705376
SHA1: bda1a71e87dcbdac25c0f017a60649bd9f1cd77a
SHA256 को परिचय: 3E47437FAEA7C2A72B93711AF831912E05716EF01C282ACD4B158C1E436D4F36
फाइल साइज: 4.50 MB , 4497920 बाइटहरू

विन्डोज पोर्टेबल कार्यान्वयनयोग्य विशेषताहरू

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

फाइल विशेषताहरू

  • No Version Info
  • ntdll
  • x64

ब्लक जानकारी

कुल ब्लकहरू: 5,806
सम्भावित रूपमा दुर्भावनापूर्ण ब्लकहरू: 986
श्वेतसूचीमा राखिएका ब्लकहरू: 4,471
अज्ञात ब्लकहरू: 349

दृश्य नक्सा

... डेटा काटियो
0 - सम्भावित सुरक्षित ब्लक
? - अज्ञात ब्लक
x - सम्भावित रूपमा दुर्भावनापूर्ण ब्लक

विन्डोज एपीआई प्रयोग

कोटी एपीआई
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
Show 26 more
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletion
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Network Winsock2
  • WSASocket
  • WSAStartup
Network Winsock
  • closesocket
  • connect
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Cert Store Read
  • CertOpenStore