அச்சுறுத்தல் தரவுத்தளம் ட்ரோஜான்கள் ரெம்கோஸ்ராட்

ரெம்கோஸ்ராட்

ட்ரோஜான்கள், தொலைநிலை நிர்வாக கருவிகள் இல் CagedTech இல்
வெளியிடப்பட்டது:
கடைசியாக புதுப்பிக்கப்பட்டது:

அச்சுறுத்தல் ஸ்கோர்கார்டு

பிரபலத்தன்மை தரவரிசை: 3,192
அச்சுறுத்தல் நிலை: 80 % (உயர்)
பாதிக்கப்பட்ட கணினிகள்: 26,970
முதலில் பார்த்தது: October 16, 2016
இறுதியாக பார்த்தது: October 28, 2026
OS(கள்) பாதிக்கப்பட்டது: Windows

Remcos RAT (Remote Access Trojan) என்பது விண்டோஸ் இயங்குதளங்களில் ஊடுருவி கட்டுப்படுத்த வடிவமைக்கப்பட்ட அதிநவீன தீம்பொருள் ஆகும். ஒரு முறையான ரிமோட் கண்ட்ரோல் மற்றும் கண்காணிப்பு கருவியாக பிரேக்கிங் செக்யூரிட்டி என்ற ஜெர்மன் நிறுவனத்தால் உருவாக்கப்பட்டு விற்கப்படுகிறது, ரெம்கோஸ் தீங்கிழைக்கும் நோக்கங்களுக்காக சைபர் கிரைமினல்களால் அடிக்கடி தவறாகப் பயன்படுத்தப்படுகிறது. இந்தக் கட்டுரை Remcos RAT தொடர்பான குணாதிசயங்கள், திறன்கள், தாக்கங்கள் மற்றும் பாதுகாப்புகள் மற்றும் அதன் வரிசைப்படுத்தல் சம்பந்தப்பட்ட சமீபத்திய குறிப்பிடத்தக்க சம்பவங்களை ஆராய்கிறது.

வரிசைப்படுத்தல் மற்றும் தொற்று முறைகள்

ஃபிஷிங் தாக்குதல்கள்
Remcos பொதுவாக ஃபிஷிங் தாக்குதல்கள் மூலம் விநியோகிக்கப்படுகிறது, இதில் சந்தேகத்திற்கு இடமில்லாத பயனர்கள் தீங்கிழைக்கும் கோப்புகளை பதிவிறக்கம் செய்து செயல்படுத்துவதில் ஏமாற்றப்படுகிறார்கள். இந்த ஃபிஷிங் மின்னஞ்சல்கள் பெரும்பாலும் கொண்டிருக்கும்:

இன்வாய்ஸ்கள் அல்லது ஆர்டர்கள் எனக் கூறி, PDFகளாக மாறுவேடமிட்ட தீங்கிழைக்கும் ZIP கோப்புகள்.
மைக்ரோசாஃப்ட் ஆஃபீஸ் ஆவணங்கள் உட்பொதிக்கப்பட்ட தீங்கிழைக்கும் மேக்ரோக்களை செயல்படுத்தும் போது தீம்பொருளை வரிசைப்படுத்த வடிவமைக்கப்பட்டுள்ளது.

ஏய்ப்பு நுட்பங்கள்
கண்டறிதலைத் தவிர்க்க, Remcos மேம்பட்ட நுட்பங்களைப் பயன்படுத்துகிறது:

  • ப்ராசஸ் இன்ஜெக்ஷன் அல்லது ப்ராசஸ் ஹாலோவிங் : இந்த முறை ரெம்கோஸை ஒரு முறையான செயல்முறைக்குள் செயல்படுத்த அனுமதிக்கிறது, இதன் மூலம் வைரஸ் தடுப்பு மென்பொருள் மூலம் கண்டறிவதைத் தவிர்க்கிறது.
  • நிலைத்தன்மை வழிமுறைகள் : நிறுவப்பட்டதும், ரெம்கோஸ், பயனரிடமிருந்து மறைத்து, பின்னணியில் இயங்க அனுமதிக்கும் வழிமுறைகளைப் பயன்படுத்துவதன் மூலம் அது செயலில் இருப்பதை உறுதி செய்கிறது.

கட்டளை மற்றும் கட்டுப்பாடு (C2) உள்கட்டமைப்பு

Remcos இன் ஒரு முக்கிய திறன் அதன் கட்டளை மற்றும் கட்டுப்பாடு (C2) செயல்பாடு ஆகும். மால்வேர் அதன் தகவல்தொடர்பு போக்குவரத்தை C2 சேவையகத்திற்குச் செல்லும் வழியில் குறியாக்குகிறது, இது பிணைய பாதுகாப்பு நடவடிக்கைகளுக்கு தரவை இடைமறித்து பகுப்பாய்வு செய்வதை கடினமாக்குகிறது. Remcos அதன் C2 சேவையகங்களுக்கு பல டொமைன்களை உருவாக்க விநியோகிக்கப்பட்ட DNS (DDNS) ஐப் பயன்படுத்துகிறது. அறியப்பட்ட தீங்கிழைக்கும் டொமைன்களுக்கான போக்குவரத்தை வடிகட்டுவதை நம்பியிருக்கும் மால்வேர் பாதுகாப்புப் பாதுகாப்பைத் தவிர்க்க இந்த நுட்பம் உதவுகிறது, அதன் பின்னடைவு மற்றும் நிலைத்தன்மையை அதிகரிக்கிறது.

Remcos RAT இன் திறன்கள்

Remcos RAT என்பது தாக்குபவர்களுக்கு பல திறன்களை வழங்கும் ஒரு சக்திவாய்ந்த கருவியாகும், இது பாதிக்கப்பட்ட அமைப்புகளின் விரிவான கட்டுப்பாடு மற்றும் சுரண்டலை செயல்படுத்துகிறது:

சிறப்புரிமை உயர்வு
Remcos பாதிக்கப்பட்ட கணினியில் நிர்வாகி அனுமதிகளைப் பெறலாம், அதை அனுமதிக்கிறது:

  • பயனர் கணக்குக் கட்டுப்பாட்டை (UAC) முடக்கு.
  • உயர்ந்த சலுகைகளுடன் பல்வேறு தீங்கிழைக்கும் செயல்பாடுகளைச் செயல்படுத்தவும்.

பாதுகாப்பு ஏய்ப்பு
செயல்முறை ஊசியைப் பயன்படுத்துவதன் மூலம், Remcos தன்னை முறையான செயல்முறைகளுக்குள் உட்பொதித்து, வைரஸ் தடுப்பு மென்பொருளைக் கண்டறிவது சவாலானது. கூடுதலாக, பின்னணியில் இயங்கும் அதன் திறன் பயனர்களிடமிருந்து அதன் இருப்பை மேலும் மறைக்கிறது.

தரவு சேகரிப்பு

Remcos பாதிக்கப்பட்ட அமைப்பிலிருந்து பலதரப்பட்ட தரவுகளை சேகரிப்பதில் திறமையானது, இதில் அடங்கும்:

  • விசை அழுத்தங்கள்
  • ஸ்கிரீன்ஷாட்கள்
  • ஆடியோ பதிவுகள்
  • கிளிப்போர்டு உள்ளடக்கங்கள்
  • சேமிக்கப்பட்ட கடவுச்சொற்கள்

ரெம்கோஸ் RAT நோய்த்தொற்றின் தாக்கம்

Remcos நோய்த்தொற்றின் விளைவுகள் குறிப்பிடத்தக்கவை மற்றும் பன்முகத்தன்மை கொண்டவை, இது தனிப்பட்ட பயனர்கள் மற்றும் நிறுவனங்களை பாதிக்கிறது:

  • கணக்கு கையகப்படுத்துதல்
    விசை அழுத்தங்களை பதிவுசெய்து கடவுச்சொற்களைத் திருடுவதன் மூலம், ஆன்லைன் கணக்குகள் மற்றும் பிற அமைப்புகளை தாக்குபவர்களை Remcos செயல்படுத்துகிறது, இது மேலும் தரவு திருட்டு மற்றும் ஒரு நிறுவனத்தின் நெட்வொர்க்கில் அங்கீகரிக்கப்படாத அணுகலுக்கு வழிவகுக்கும்.
  • தரவு திருட்டு
    Remcos ஆனது பாதிக்கப்பட்ட அமைப்பிலிருந்து முக்கியமான தரவுகளை வெளியேற்றும் திறன் கொண்டது. இது சமரசம் செய்யப்பட்ட கணினியிலிருந்து நேரடியாகவோ அல்லது திருடப்பட்ட நற்சான்றிதழ்களைப் பயன்படுத்தி அணுகப்பட்ட பிற அமைப்புகளிலோ தரவு மீறல்களுக்கு வழிவகுக்கும்.
  • பின்தொடரும் தொற்றுகள்
    Remcos உடனான தொற்று, கூடுதல் மால்வேர் வகைகளைப் பயன்படுத்துவதற்கான நுழைவாயிலாகச் செயல்படும். இது ransomware தொற்றுகள் போன்ற அடுத்தடுத்த தாக்குதல்களின் அபாயத்தை அதிகரிக்கிறது, மேலும் சேதத்தை அதிகரிக்கிறது.

Remcos மால்வேருக்கு எதிரான பாதுகாப்பு

ரெம்கோஸ் நோய்த்தொற்றுகளிலிருந்து பாதுகாக்க நிறுவனங்கள் பல உத்திகளையும் சிறந்த நடைமுறைகளையும் பின்பற்றலாம்:

மின்னஞ்சல் ஸ்கேனிங்
சந்தேகத்திற்கிடமான மின்னஞ்சல்களைக் கண்டறிந்து தடுக்கும் மின்னஞ்சல் ஸ்கேனிங் தீர்வுகளைச் செயல்படுத்துவது, பயனர்களின் இன்பாக்ஸில் ரெம்கோஸின் ஆரம்ப டெலிவரியைத் தடுக்கலாம்.

டொமைன் பகுப்பாய்வு
இறுதிப்புள்ளிகளால் கோரப்பட்ட டொமைன் பதிவுகளை கண்காணித்தல் மற்றும் பகுப்பாய்வு செய்வது Remcos உடன் தொடர்புடைய இளம் அல்லது சந்தேகத்திற்குரிய டொமைன்களைக் கண்டறிந்து தடுக்க உதவும்.

நெட்வொர்க் ட்ராஃபிக் பகுப்பாய்வு
தரமற்ற நெறிமுறைகளைப் பயன்படுத்தி தங்கள் போக்குவரத்தை என்க்ரிப்ட் செய்யும் ரெம்கோஸ் மாறுபாடுகளை நெட்வொர்க் ட்ராஃபிக் பகுப்பாய்வு மூலம் கண்டறியலாம், இது மேலும் விசாரணைக்கு வழக்கத்திற்கு மாறான போக்குவரத்து வடிவங்களைக் கொடியிடலாம்.

இறுதிப்புள்ளி பாதுகாப்பு
ரெம்கோஸ் நோய்த்தொற்றுகளைக் கண்டறிந்து சரிசெய்யும் திறனுடன் எண்ட்பாயிண்ட் பாதுகாப்பு தீர்வுகளைப் பயன்படுத்துவது மிகவும் முக்கியமானது. இந்த தீர்வுகள் தீம்பொருளைக் கண்டறிந்து நடுநிலையாக்க சமரசத்தின் நிறுவப்பட்ட குறிகாட்டிகளை நம்பியுள்ளன.

CrowdStrike செயலிழப்பு சுரண்டல்

சமீபத்திய சம்பவத்தில், சைபர் கிரைமினல்கள் Remcos RAT ஐ விநியோகிக்க சைபர் செக்யூரிட்டி நிறுவனமான CrowdStrike இன் உலகளாவிய செயலிழப்பைப் பயன்படுத்திக் கொண்டனர். 'crowdstrike-hotfix.zip' என்ற ஜிப் காப்பகக் கோப்பை விநியோகிப்பதன் மூலம் லத்தீன் அமெரிக்காவில் உள்ள CrowdStrike வாடிக்கையாளர்களை தாக்குபவர்கள் குறிவைத்தனர். இந்தக் கோப்பில் மால்வேர் ஏற்றி, ஹைஜாக் லோடர் உள்ளது, இது ரெம்கோஸ் RAT பேலோடைத் தொடங்கியது.

ஜிப் காப்பகத்தில் ஸ்பானிஷ் மொழி அறிவுறுத்தல்களுடன் கூடிய உரைக் கோப்பு ('instrucciones.txt') சேர்க்கப்பட்டுள்ளது, சிக்கலில் இருந்து மீண்டு வர, இயங்கக்கூடிய கோப்பை ('setup.exe') இயக்க இலக்குகளை வலியுறுத்துகிறது. ஸ்பானிஷ் கோப்புப்பெயர்கள் மற்றும் வழிமுறைகளின் பயன்பாடு லத்தீன் அமெரிக்காவை அடிப்படையாகக் கொண்ட CrowdStrike வாடிக்கையாளர்களை இலக்காகக் கொண்ட ஒரு இலக்கு பிரச்சாரத்தைக் குறிக்கிறது.

முடிவுரை

Remcos RAT என்பது ஒரு சக்திவாய்ந்த மற்றும் பல்துறை மால்வேர் ஆகும், இது விண்டோஸ் சிஸ்டங்களுக்கு குறிப்பிடத்தக்க அச்சுறுத்தலாக உள்ளது. கண்டறிதலைத் தவிர்ப்பதற்கும், உயர்ந்த சலுகைகளைப் பெறுவதற்கும், விரிவான தரவைச் சேகரிப்பதற்கும் அதன் திறன் சைபர் கிரைமினல்கள் மத்தியில் அதை ஒரு விருப்பமான கருவியாக ஆக்குகிறது. அதன் வரிசைப்படுத்தல் முறைகள், திறன்கள் மற்றும் தாக்கங்களைப் புரிந்துகொள்வதன் மூலம், இந்த தீங்கிழைக்கும் மென்பொருளுக்கு எதிராக நிறுவனங்கள் சிறப்பாகப் பாதுகாக்க முடியும். வலுவான பாதுகாப்பு நடவடிக்கைகளை செயல்படுத்துதல் மற்றும் ஃபிஷிங் தாக்குதல்களுக்கு எதிராக விழிப்புடன் இருப்பது ஆகியவை Remcos RAT ஆல் ஏற்படும் ஆபத்தைக் குறைப்பதில் முக்கியமான படிகள் ஆகும்.

SpyHunter ரெம்கோஸ்ராட்ஐக் கண்டறிந்து நீக்குகிறது

ரெம்கோஸ்ராட் வீடியோ

உதவிக்குறிப்பு: உங்கள் ஒலியை இயக்கி , வீடியோவை முழுத்திரை பயன்முறையில் பார்க்கவும் .

கோப்பு முறை விவரங்கள்

ரெம்கோஸ்ராட் பின்வரும் கோப்பை(களை) உருவாக்கலாம்:
எல்லாவற்றையும் விரிவாக்கு | எல்லாவற்றையும் அழி
# கோப்பு பெயர் எம்டி 5 கண்டறிதல்கள்
1. 7g1cq51137eqs.exe aeca465c269f3bd7b5f67bc9da8489cb 83
2. 321.exe d435cebd8266fa44111ece457a1bfba1 45
3. windslfj.exe 968650761a5d13c26197dbf26c56552a 5
4. Legit Program.exe cd2c23deea7f1eb6b19a42fd3affb0ee 3
5. unseen.exe d8cff8ec41992f25ef3127e32e379e3b 2
6. file.exe c41f7add0295861e60501373d87d586d 1
7. e12cd6fe497b42212fa8c9c19bf51088 e12cd6fe497b42212fa8c9c19bf51088 0
8. 50a62912a3a282b1b11f78f23d0e5906 50a62912a3a282b1b11f78f23d0e5906 0
மேலும் கோப்புகள்

பதிவு விவரங்கள்

ரெம்கோஸ்ராட் பின்வரும் பதிவு உள்ளீடு அல்லது பதிவேடு உள்ளீடுகளை உருவாக்கலாம்:
Regexp file mask
%APPDATA%\aitagent\aitagent.exe
%APPDATA%\Analysernes1.exe
%APPDATA%\Audiohd.exe
%APPDATA%\Bagsmks8.exe
%APPDATA%\Behandlingens[RANDOM CHARACTERS].exe
%APPDATA%\Brnevrelser[RANDOM CHARACTERS].exe
%appdata%\calc.exe
%APPDATA%\chrome\chrome.exe
%APPDATA%\deseret.pif
%APPDATA%\explorer\explore.exe
%APPDATA%\Extortioner.exe
%APPDATA%\firewall.exe
%APPDATA%\foc\foc.exe
%APPDATA%\Holmdel8.exe
%APPDATA%\Install\laeu.exe
%APPDATA%\Irenas.exe
%APPDATA%\Javaw\Javaw.exe
%APPDATA%\Machree[RANDOM CHARACTERS].exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firewall.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Holmdel8.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Legit Program.exe
%APPDATA%\Mozila\Mozila.exe
%APPDATA%\newremcos.exe
%APPDATA%\remcos.exe
%APPDATA%\SearchUI.exe
%APPDATA%\Smartse\smartse.exe
%AppData%\spoolsv.exe
%APPDATA%\System\logs.dat
%APPDATA%\Tornlst.exe
%APPDATA%\WindowsDefender\WindowsDefender.exe
%PROGRAMFILES%\AppData\drivers.exe
%TEMP%\Name of the melted file.exe
%WINDIR%\System32\remcomsvc.exe
%WINDIR%\SysWOW64\remcomsvc.exe
HKEY..\..\..\..{RegistryKeys}
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\remcos
SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\remcos

அடைவுகள்

ரெம்கோஸ்ராட் பின்வரும் அடைவு அல்லது கோப்பகங்களை உருவாக்கலாம்:

%ALLUSERSPROFILE%\task manager
%APPDATA%\Badlion
%APPDATA%\Extress
%APPDATA%\GoogleChrome
%APPDATA%\JagexLIVE
%APPDATA%\Remc
%APPDATA%\Shockwave
%APPDATA%\appdata
%APPDATA%\googlecrome
%APPDATA%\hyerr
%APPDATA%\loader
%APPDATA%\pdf
%APPDATA%\remcoco
%APPDATA%\ujmcos
%APPDATA%\verify
%APPDATA%\windir
%AppData%\remcos
%PROGRAMFILES(x86)%\Microsft Word
%TEMP%\commonafoldersz
%TEMP%\remcos
%Userprofile%\remcos
%WINDIR%\SysWOW64\Adobe Inc
%WINDIR%\SysWOW64\remcos
%WINDIR%\SysWOW64\skype
%WINDIR%\System32\rel
%WINDIR%\System32\remcos
%WINDIR%\notepad++
%WINDIR%\remcos

பகுப்பாய்வு அறிக்கை

பொதுவான செய்தி

குடும்பப் பெயர்: Trojan.RemcosRAT
கையொப்ப நிலை: No Signature

அறியப்பட்ட மாதிரிகள்

எம்டி 5: b629b4b2de416b18b7f164960c705376
SHA1: bda1a71e87dcbdac25c0f017a60649bd9f1cd77a
SHA256: 3E47437FAEA7C2A72B93711AF831912E05716EF01C282ACD4B158C1E436D4F36
கோப்பின் அளவு: 4.50 MB , 4497920 பைட்டுகள்

விண்டோஸ் போர்ட்டபிள் எக்ஸிக்யூட்டபிள் பண்புக்கூறுகள்

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

கோப்பு பண்புகள்

  • No Version Info
  • ntdll
  • x64

தொகுதி தகவல்

மொத்த தொகுதிகள்: 5,806
தீங்கிழைக்க வாய்ப்புள்ள தொகுதிகள்: 986
அனுமதிக்கப்பட்ட தொகுதிகள்: 4,471
அறியப்படாத தொகுதிகள்: 349

காட்சி வரைபடம்

... தரவு சுருக்கப்பட்டது
0 - சாத்தியமான பாதுகாப்பான தொகுதி
? - அறியப்படாத தொகுதி
x - தீங்கிழைக்க வாய்ப்புள்ள தொகுதி

விண்டோஸ் ஏபிஐ பயன்பாடு

வகை ஏபிஐ
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
Show 26 more
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletion
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Network Winsock2
  • WSASocket
  • WSAStartup
Network Winsock
  • closesocket
  • connect
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Cert Store Read
  • CertOpenStore