ฐานข้อมูลภัยคุกคาม ทรอยจัน RemcosRAT

RemcosRAT

โดย CagedTech ใน ทรอยจัน, เครื่องมือการบริหารจัดการระยะไกล
เผยแพร่:
ปรับปรุงล่าสุด:

ดัชนีชี้วัดภัยคุกคาม

อันดับความนิยม: 3,192
ระดับภัยคุกคาม: 80 % (สูง)
คอมพิวเตอร์ที่ติดเชื้อ: 26,970
เห็นครั้งแรก: October 16, 2016
ครั้งสุดท้ายที่เจอ: October 28, 2026
ระบบปฏิบัติการที่ได้รับผลกระทบ: Windows

Remcos RAT (โทรจันการเข้าถึงระยะไกล) เป็นมัลแวร์ที่ซับซ้อนที่ออกแบบมาเพื่อแทรกซึมและควบคุมระบบปฏิบัติการ Windows พัฒนาและจำหน่ายโดยบริษัทเยอรมันชื่อ Breaking Security เป็นเครื่องมือควบคุมและเฝ้าระวังระยะไกลที่ถูกต้องตามกฎหมาย Remcos มักถูกอาชญากรไซเบอร์นำไปใช้ในทางที่ผิดบ่อยครั้งเพื่อจุดประสงค์ที่เป็นอันตราย บทความนี้เจาะลึกถึงคุณลักษณะ ความสามารถ ผลกระทบ และการป้องกันที่เกี่ยวข้องกับ Remcos RAT รวมถึงเหตุการณ์สำคัญล่าสุดที่เกี่ยวข้องกับการใช้งาน

วิธีการปรับใช้และการติดเชื้อ

การโจมตีแบบฟิชชิ่ง
โดยทั่วไป Remcos จะถูกกระจายผ่านการโจมตีแบบฟิชชิ่ง โดยที่ผู้ใช้ที่ไม่สงสัยจะถูกหลอกให้ดาวน์โหลดและเรียกใช้ไฟล์ที่เป็นอันตราย อีเมลฟิชชิ่งเหล่านี้มักประกอบด้วย:

ไฟล์ ZIP ที่เป็นอันตรายซึ่งปลอมแปลงเป็น PDF โดยอ้างว่าเป็นใบแจ้งหนี้หรือคำสั่งซื้อ
เอกสาร Microsoft Office พร้อมมาโครที่เป็นอันตรายฝังอยู่ซึ่งออกแบบมาเพื่อปรับใช้มัลแวร์เมื่อเปิดใช้งาน

เทคนิคการหลบหลีก
เพื่อหลบเลี่ยงการตรวจจับ Remcos ใช้เทคนิคขั้นสูง เช่น:

  • การฉีดกระบวนการหรือการกลวงกระบวนการ : วิธีนี้ช่วยให้ Remcos ดำเนินการภายในกระบวนการที่ถูกต้องตามกฎหมาย ดังนั้นจึงหลีกเลี่ยงการตรวจจับโดยซอฟต์แวร์ป้องกันไวรัส
  • กลไกการคงอยู่ : เมื่อติดตั้งแล้ว Remcos จะตรวจสอบให้แน่ใจว่ายังคงทำงานอยู่โดยใช้กลไกที่อนุญาตให้ทำงานในพื้นหลังซึ่งซ่อนไม่ให้ผู้ใช้เห็น

โครงสร้างพื้นฐานคำสั่งและการควบคุม (C2)

ความสามารถหลักของ Remcos คือฟังก์ชัน Command-and-Control (C2) มัลแวร์เข้ารหัสการรับส่งข้อมูลการสื่อสารระหว่างเส้นทางไปยังเซิร์ฟเวอร์ C2 ทำให้ยากสำหรับมาตรการรักษาความปลอดภัยเครือข่ายในการสกัดกั้นและวิเคราะห์ข้อมูล Remcos ใช้ Distributed DNS (DDNS) เพื่อสร้างหลายโดเมนสำหรับเซิร์ฟเวอร์ C2 เทคนิคนี้ช่วยให้มัลแวร์หลบเลี่ยงการป้องกันความปลอดภัยที่ต้องอาศัยการกรองการรับส่งข้อมูลไปยังโดเมนที่เป็นอันตรายซึ่งเพิ่มความยืดหยุ่นและความคงทน

ความสามารถของ Remcos RAT

Remcos RAT เป็นเครื่องมืออันทรงพลังที่มอบความสามารถมากมายให้กับผู้โจมตี ช่วยให้สามารถควบคุมและใช้ประโยชน์จากระบบที่ติดไวรัสได้อย่างกว้างขวาง:

การยกระดับสิทธิพิเศษ
Remcos สามารถรับสิทธิ์ผู้ดูแลระบบบนระบบที่ติดไวรัส ทำให้สามารถ:

  • ปิดใช้งานการควบคุมบัญชีผู้ใช้ (UAC)
  • ดำเนินการฟังก์ชันที่เป็นอันตรายต่างๆ ด้วยสิทธิ์ระดับสูง

การหลบหลีกการป้องกัน
ด้วยการใช้การฉีดกระบวนการ Remcos จะฝังตัวอยู่ในกระบวนการที่ถูกต้อง ซึ่งทำให้ซอฟต์แวร์ป้องกันไวรัสตรวจจับได้ยาก นอกจากนี้ ความสามารถในการทำงานในพื้นหลังยังช่วยปกปิดไม่ให้ผู้ใช้เห็นอีกด้วย

การเก็บรวบรวมข้อมูล

Remcos เชี่ยวชาญในการรวบรวมข้อมูลที่หลากหลายจากระบบที่ติดไวรัส รวมถึง:

  • การกดแป้นพิมพ์
  • ภาพหน้าจอ
  • การบันทึกเสียง
  • เนื้อหาคลิปบอร์ด
  • รหัสผ่านที่เก็บไว้

ผลกระทบของการติดเชื้อ Remcos RAT

ผลที่ตามมาของการติดเชื้อ Remcos มีความสำคัญและมีหลายแง่มุม ซึ่งส่งผลกระทบต่อทั้งผู้ใช้รายบุคคลและองค์กร:

  • การครอบครองบัญชี
    ด้วยการบันทึกการกดแป้นพิมพ์และขโมยรหัสผ่าน Remcos ช่วยให้ผู้โจมตีเข้ายึดบัญชีออนไลน์และระบบอื่นๆ ซึ่งอาจนำไปสู่การขโมยข้อมูลเพิ่มเติมและการเข้าถึงภายในเครือข่ายขององค์กรโดยไม่ได้รับอนุญาต
  • การโจรกรรมข้อมูล
    Remcos สามารถกรองข้อมูลที่ละเอียดอ่อนออกจากระบบที่ติดไวรัสได้ ซึ่งอาจส่งผลให้เกิดการละเมิดข้อมูล ทั้งโดยตรงจากคอมพิวเตอร์ที่ถูกบุกรุกหรือจากระบบอื่นที่เข้าถึงโดยใช้ข้อมูลประจำตัวที่ถูกขโมย
  • การติดเชื้อที่ตามมา
    การติดไวรัส Remcos สามารถทำหน้าที่เป็นช่องทางในการปรับใช้มัลแวร์รูปแบบต่างๆ เพิ่มเติมได้ สิ่งนี้จะเพิ่มความเสี่ยงของการโจมตีในภายหลัง เช่น การติดแรนซัมแวร์ ซึ่งจะทำให้ความเสียหายรุนแรงขึ้นอีก

การป้องกันมัลแวร์ Remcos

องค์กรสามารถนำกลยุทธ์และแนวทางปฏิบัติที่ดีที่สุดหลายประการมาใช้เพื่อป้องกันการติดเชื้อ Remcos:

การสแกนอีเมล
การใช้โซลูชันการสแกนอีเมลที่ระบุและบล็อกอีเมลที่น่าสงสัยสามารถป้องกันการส่ง Remcos ไปยังกล่องจดหมายของผู้ใช้ในครั้งแรกได้

การวิเคราะห์โดเมน
การตรวจสอบและวิเคราะห์บันทึกโดเมนที่ร้องขอโดยจุดสิ้นสุดสามารถช่วยระบุและบล็อกโดเมนใหม่หรือน่าสงสัยที่อาจเกี่ยวข้องกับ Remcos

การวิเคราะห์การรับส่งข้อมูลเครือข่าย
ตัวแปร Remcos ที่เข้ารหัสการรับส่งข้อมูลโดยใช้โปรโตคอลที่ไม่ได้มาตรฐานสามารถตรวจพบได้ผ่านการวิเคราะห์การรับส่งข้อมูลเครือข่าย ซึ่งสามารถระบุรูปแบบการรับส่งข้อมูลที่ผิดปกติเพื่อการตรวจสอบเพิ่มเติม

การรักษาความปลอดภัยปลายทาง
การปรับใช้โซลูชันการรักษาความปลอดภัยปลายทางที่มีความสามารถในการตรวจจับและแก้ไขการติดไวรัส Remcos ถือเป็นสิ่งสำคัญ โซลูชันเหล่านี้อาศัยตัวบ่งชี้การประนีประนอมที่กำหนดไว้เพื่อระบุและต่อต้านมัลแวร์

การใช้ประโยชน์จาก CrowdStrike Outage

ในเหตุการณ์ล่าสุด อาชญากรไซเบอร์ใช้ประโยชน์จากการหยุดทำงานของบริษัทรักษาความปลอดภัยทางไซเบอร์ CrowdStrike ทั่วโลกเพื่อแจกจ่าย Remcos RAT ผู้โจมตีกำหนดเป้าหมายลูกค้า CrowdStrike ในละตินอเมริกาโดยแจกจ่ายไฟล์ ZIP ชื่อ 'crowdstrike-hotfix.zip' ไฟล์นี้มีตัวโหลดมัลแวร์ Hijack Loader ซึ่งต่อมาได้เปิดตัวเพย์โหลด Remcos RAT

ไฟล์ ZIP รวมไฟล์ข้อความ ('instrucciones.txt') พร้อมคำแนะนำภาษาสเปน กระตุ้นให้เป้าหมายเรียกใช้ไฟล์ปฏิบัติการ ('setup.exe') เพื่อกู้คืนจากปัญหานี้โดยเจตนา การใช้ชื่อไฟล์ภาษาสเปนและคำแนะนำบ่งชี้ถึงแคมเปญที่กำหนดเป้าหมายซึ่งมุ่งเป้าไปที่ลูกค้า CrowdStrike ในละตินอเมริกา

บทสรุป

Remcos RAT เป็นมัลแวร์ที่ทรงพลังและใช้งานได้หลากหลายซึ่งก่อให้เกิดภัยคุกคามที่สำคัญต่อระบบ Windows ความสามารถในการหลบเลี่ยงการตรวจจับ รับสิทธิพิเศษระดับสูง และรวบรวมข้อมูลที่กว้างขวางทำให้เป็นเครื่องมือที่อาชญากรไซเบอร์ชื่นชอบ ด้วยการทำความเข้าใจวิธีการปรับใช้ ความสามารถ และผลกระทบ องค์กรต่างๆ จึงสามารถป้องกันซอฟต์แวร์ที่เป็นอันตรายนี้ได้ดีขึ้น การใช้มาตรการรักษาความปลอดภัยที่แข็งแกร่งและการเฝ้าระวังการโจมตีแบบฟิชชิ่งเป็นขั้นตอนสำคัญในการลดความเสี่ยงที่เกิดจาก Remcos RAT

SpyHunter ตรวจจับ & ลบ RemcosRAT

RemcosRAT วิดีโอ

เคล็ดลับ: เปิดเสียงของคุณและดูวิดีโอในโหมดเต็มหน้าจอ

รายละเอียดระบบไฟล์

RemcosRAT อาจสร้างไฟล์ต่อไปนี้:
ขยายทั้งหมด | ยุบทั้งหมด
# ชื่อไฟล์ MD5 การตรวจจับ
1. 7g1cq51137eqs.exe aeca465c269f3bd7b5f67bc9da8489cb 83
2. 321.exe d435cebd8266fa44111ece457a1bfba1 45
3. windslfj.exe 968650761a5d13c26197dbf26c56552a 5
4. Legit Program.exe cd2c23deea7f1eb6b19a42fd3affb0ee 3
5. unseen.exe d8cff8ec41992f25ef3127e32e379e3b 2
6. file.exe c41f7add0295861e60501373d87d586d 1
7. e12cd6fe497b42212fa8c9c19bf51088 e12cd6fe497b42212fa8c9c19bf51088 0
8. 50a62912a3a282b1b11f78f23d0e5906 50a62912a3a282b1b11f78f23d0e5906 0
ไฟล์เพิ่มเติม

รายละเอียดรีจิสทรี

RemcosRAT อาจสร้างรายการรีจิสตรีหรือรายการรีจิสตรีต่อไปนี้:
Regexp file mask
%APPDATA%\aitagent\aitagent.exe
%APPDATA%\Analysernes1.exe
%APPDATA%\Audiohd.exe
%APPDATA%\Bagsmks8.exe
%APPDATA%\Behandlingens[RANDOM CHARACTERS].exe
%APPDATA%\Brnevrelser[RANDOM CHARACTERS].exe
%appdata%\calc.exe
%APPDATA%\chrome\chrome.exe
%APPDATA%\deseret.pif
%APPDATA%\explorer\explore.exe
%APPDATA%\Extortioner.exe
%APPDATA%\firewall.exe
%APPDATA%\foc\foc.exe
%APPDATA%\Holmdel8.exe
%APPDATA%\Install\laeu.exe
%APPDATA%\Irenas.exe
%APPDATA%\Javaw\Javaw.exe
%APPDATA%\Machree[RANDOM CHARACTERS].exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firewall.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Holmdel8.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Legit Program.exe
%APPDATA%\Mozila\Mozila.exe
%APPDATA%\newremcos.exe
%APPDATA%\remcos.exe
%APPDATA%\SearchUI.exe
%APPDATA%\Smartse\smartse.exe
%AppData%\spoolsv.exe
%APPDATA%\System\logs.dat
%APPDATA%\Tornlst.exe
%APPDATA%\WindowsDefender\WindowsDefender.exe
%PROGRAMFILES%\AppData\drivers.exe
%TEMP%\Name of the melted file.exe
%WINDIR%\System32\remcomsvc.exe
%WINDIR%\SysWOW64\remcomsvc.exe
HKEY..\..\..\..{RegistryKeys}
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\remcos
SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\remcos

ไดเรกทอรี

RemcosRAT อาจสร้างไดเร็กทอรีหรือไดเร็กทอรีต่อไปนี้:

%ALLUSERSPROFILE%\task manager
%APPDATA%\Badlion
%APPDATA%\Extress
%APPDATA%\GoogleChrome
%APPDATA%\JagexLIVE
%APPDATA%\Remc
%APPDATA%\Shockwave
%APPDATA%\appdata
%APPDATA%\googlecrome
%APPDATA%\hyerr
%APPDATA%\loader
%APPDATA%\pdf
%APPDATA%\remcoco
%APPDATA%\ujmcos
%APPDATA%\verify
%APPDATA%\windir
%AppData%\remcos
%PROGRAMFILES(x86)%\Microsft Word
%TEMP%\commonafoldersz
%TEMP%\remcos
%Userprofile%\remcos
%WINDIR%\SysWOW64\Adobe Inc
%WINDIR%\SysWOW64\remcos
%WINDIR%\SysWOW64\skype
%WINDIR%\System32\rel
%WINDIR%\System32\remcos
%WINDIR%\notepad++
%WINDIR%\remcos

รายงานการวิเคราะห์

ข้อมูลทั่วไป

นามสกุล: Trojan.RemcosRAT
สถานะลายเซ็น: No Signature

ตัวอย่างที่ทราบแล้ว

MD5: b629b4b2de416b18b7f164960c705376
เอสเอชเอ1: bda1a71e87dcbdac25c0f017a60649bd9f1cd77a
เอสเอชเอ256: 3E47437FAEA7C2A72B93711AF831912E05716EF01C282ACD4B158C1E436D4F36
ขนาดไฟล์: 4.50 MB , 4497920 ไบต์

คุณสมบัติของไฟล์ปฏิบัติการพกพาของ Windows

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

คุณลักษณะของไฟล์

  • No Version Info
  • ntdll
  • x64

ข้อมูลบล็อก

จำนวนบล็อกทั้งหมด: 5,806
การบล็อกที่อาจเป็นอันตราย: 986
บล็อกที่อนุญาต: 4,471
บล็อกที่ไม่รู้จัก: 349

แผนที่ภาพ

... ข้อมูลถูกตัดทอน
0 - บล็อกที่ปลอดภัยน่าจะเป็นไปได้
? - บล็อกที่ไม่รู้จัก
x - บล็อกที่อาจเป็นอันตราย

การใช้งาน Windows API

หมวดหมู่ API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
Show 26 more
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletion
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Network Winsock2
  • WSASocket
  • WSAStartup
Network Winsock
  • closesocket
  • connect
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Cert Store Read
  • CertOpenStore