RemcosRAT

Ang Remcos RAT (Remote Access Trojan) ay isang sopistikadong malware na idinisenyo upang makalusot at kontrolin ang mga operating system ng Windows. Binuo at ibinenta ng isang kumpanyang German na pinangalanang Breaking Security bilang isang lehitimong remote control at tool sa pagsubaybay, ang Remcos ay madalas na inaabuso ng mga cybercriminal para sa mga malisyosong layunin. Tinutukoy ng artikulong ito ang mga katangian, kakayahan, epekto, at depensa na nauugnay sa Remcos RAT, pati na rin ang mga kamakailang kapansin-pansing insidente na kinasasangkutan ng pag-deploy nito.

Mga Paraan ng Deployment at Impeksyon

Mga Pag-atake sa Phishing
Ang Remcos ay karaniwang ipinamamahagi sa pamamagitan ng mga pag-atake ng phishing, kung saan ang mga hindi mapag-aalinlanganang user ay dinadaya sa pag-download at pag-execute ng mga malisyosong file. Ang mga phishing na email na ito ay kadalasang naglalaman ng:

Ang mga nakakahamak na ZIP file ay itinago bilang mga PDF, na sinasabing mga invoice o order.
Mga dokumento ng Microsoft Office na may mga naka-embed na malisyosong macro na idinisenyo upang i-deploy ang malware sa pag-activate.

Mga diskarte sa pag-iwas
Para makaiwas sa pagtuklas, gumagamit ang Remcos ng mga advanced na diskarte gaya ng:

• Process Injection o Process Hollowing : Ang paraang ito ay nagbibigay-daan sa Remcos na isagawa sa loob ng isang lehitimong proseso, sa gayon ay maiiwasan ang pagtuklas ng antivirus software.
• Mga Mekanismo ng Pagtitiyaga : Kapag na-install na, tinitiyak ng Remcos na mananatiling aktibo ito sa pamamagitan ng paggamit ng mga mekanismo na nagpapahintulot na tumakbo ito sa background, na nakatago mula sa user.

Imprastraktura ng Command-and-Control (C2).

Ang pangunahing kakayahan ng Remcos ay ang Command-and-Control (C2) functionality nito. Ini-encrypt ng malware ang trapiko ng komunikasyon nito patungo sa C2 server, na ginagawang mahirap para sa mga hakbang sa seguridad ng network na maharang at suriin ang data. Gumagamit ang Remcos ng Distributed DNS (DDNS) para gumawa ng maraming domain para sa mga C2 server nito. Tinutulungan ng diskarteng ito ang malware na iwasan ang mga proteksyon sa seguridad na umaasa sa pag-filter ng trapiko sa mga kilalang nakakahamak na domain, na nagpapahusay sa katatagan at pagtitiyaga nito.

Mga kakayahan ng Remcos RAT

Ang Remcos RAT ay isang makapangyarihang tool na nag-aalok ng maraming kakayahan sa mga umaatake, na nagbibigay-daan sa malawak na kontrol at pagsasamantala sa mga nahawaang system:

Pagtaas ng Pribilehiyo
Ang Remcos ay maaaring makakuha ng mga pahintulot ng Administrator sa isang nahawaang system, na nagpapahintulot dito na:

• Huwag paganahin ang User Account Control (UAC).
• Magsagawa ng iba't ibang malisyosong function na may mataas na mga pribilehiyo.

Pag-iwas sa Depensa
Sa pamamagitan ng paggamit ng proseso ng pag-iniksyon, inilalagay ng Remcos ang sarili nito sa loob ng mga lehitimong proseso, na ginagawa itong hamon para sa antivirus software na matukoy. Bukod pa rito, ang kakayahang tumakbo sa background ay higit pang nagtatago sa presensya nito mula sa mga user.

Pagkolekta ng data

Ang Remcos ay sanay sa pagkolekta ng malawak na hanay ng data mula sa nahawaang sistema, kabilang ang:

• Mga keystroke
• Mga screenshot
• Mga pag-record ng audio
• Mga nilalaman ng clipboard
• Mga nakaimbak na password

Epekto ng Remcos RAT Infection

Ang mga kahihinatnan ng isang impeksyon sa Remcos ay makabuluhan at maraming aspeto, na nakakaapekto sa parehong mga indibidwal na user at organisasyon:

• Pagkuha ng Account
  Sa pamamagitan ng pag-log ng mga keystroke at pagnanakaw ng mga password, binibigyang-daan ng Remcos ang mga umaatake na kunin ang mga online na account at iba pang mga system, na posibleng humantong sa higit pang pagnanakaw ng data at hindi awtorisadong pag-access sa loob ng network ng isang organisasyon.
• Pagnanakaw ng Data
  Ang Remcos ay may kakayahang mag-exfiltrate ng sensitibong data mula sa nahawaang sistema. Maaari itong magresulta sa mga paglabag sa data, alinman nang direkta mula sa nakompromisong computer o mula sa iba pang mga system na na-access gamit ang mga ninakaw na kredensyal.
• Follow-On Impeksyon
  Ang impeksyon sa Remcos ay maaaring magsilbing gateway para sa pag-deploy ng mga karagdagang variant ng malware. Pinatataas nito ang panganib ng mga kasunod na pag-atake, tulad ng mga impeksyon sa ransomware, na lalong nagpapalala sa pinsala.

Proteksyon Laban sa Remcos Malware

Maaaring gumamit ang mga organisasyon ng ilang diskarte at pinakamahuhusay na kagawian upang maprotektahan laban sa mga impeksyon sa Remcos:

Pag-scan ng Email
Ang pagpapatupad ng mga solusyon sa pag-scan ng email na tumutukoy at nagba-block ng mga kahina-hinalang email ay maaaring pigilan ang paunang paghahatid ng Remcos sa mga inbox ng mga user.

Pagsusuri ng Domain
Ang pagsubaybay at pagsusuri sa mga rekord ng domain na hiniling ng mga endpoint ay makakatulong na matukoy at ma-block ang mga bata o kahina-hinalang domain na maaaring nauugnay sa Remcos.

Pagsusuri ng Trapiko sa Network
Ang mga variant ng Remcos na nag-e-encrypt ng kanilang trapiko gamit ang mga hindi karaniwang protocol ay maaaring matukoy sa pamamagitan ng pagsusuri sa trapiko ng network, na maaaring mag-flag ng mga hindi pangkaraniwang pattern ng trapiko para sa karagdagang pagsisiyasat.

Seguridad ng Endpoint
Ang pag-deploy ng mga solusyon sa seguridad ng endpoint na may kakayahang tumukoy at mabawi ang mga impeksyon sa Remcos ay napakahalaga. Ang mga solusyong ito ay umaasa sa mga naitatag na tagapagpahiwatig ng kompromiso upang matukoy at ma-neutralize ang malware.

Pagsasamantala sa CrowdStrike Outage

Sa isang kamakailang insidente, pinagsamantalahan ng mga cybercriminal ang isang pandaigdigang pagkawala ng cybersecurity firm na CrowdStrike upang ipamahagi ang Remcos RAT. Tinarget ng mga umaatake ang mga customer ng CrowdStrike sa Latin America sa pamamagitan ng pamamahagi ng ZIP archive file na pinangalanang 'crowdstrike-hotfix.zip.' Ang file na ito ay naglalaman ng malware loader, Hijack Loader, na kasunod na inilunsad ang Remcos RAT payload.

Ang ZIP archive ay may kasamang text file ('instrucciones.txt') na may mga tagubilin sa wikang Espanyol, na humihimok sa mga target na magpatakbo ng isang executable file ('setup.exe') para diumano'y makabawi mula sa isyu. Ang paggamit ng mga Spanish filename at mga tagubilin ay nagpapahiwatig ng isang naka-target na kampanya na naglalayong sa mga customer ng CrowdStrike na nakabase sa Latin America.

Konklusyon

Ang Remcos RAT ay isang makapangyarihan at maraming nalalaman na malware na nagdudulot ng malaking banta sa mga Windows system. Ang kakayahan nitong umiwas sa pagtuklas, makakuha ng matataas na pribilehiyo, at mangolekta ng malawak na data ay ginagawa itong isang pinapaboran na tool sa mga cybercriminal. Sa pamamagitan ng pag-unawa sa mga paraan ng pag-deploy, kakayahan, at epekto nito, mas makakapagtanggol ang mga organisasyon laban sa malisyosong software na ito. Ang pagpapatupad ng matatag na mga hakbang sa seguridad at pananatiling mapagbantay laban sa mga pag-atake ng phishing ay mga mahahalagang hakbang sa pagpapagaan sa panganib na dulot ng Remcos RAT.

Nakikita at Tinatanggal ng SpyHunter ang RemcosRAT

RemcosRAT Video

Tip: I- ON ang iyong tunog at panoorin ang video sa Full Screen mode .