Tehdit Veritabanı Truvalılar RemcosRAT

RemcosRAT

CagedTech'de Truvalılar, Uzaktan Yönetim Araçları'de
Yayınlanma tarihi:
Son güncelleme:

Tehdit Puan Kartı

Popülerlik Sıralaması: 3,192
Tehlike seviyesi: 80 % (Yüksek)
Etkilenen Bilgisayarlar: 26,970
İlk görüş: October 16, 2016
Son görülen: October 28, 2026
Etkilenen İşletim Sistemleri: Windows

Remcos RAT (Uzaktan Erişim Truva Atı), Windows işletim sistemlerine sızmak ve bunları kontrol etmek için tasarlanmış gelişmiş bir kötü amaçlı yazılımdır. Breaking Security adlı bir Alman şirketi tarafından meşru bir uzaktan kontrol ve gözetim aracı olarak geliştirilen ve satılan Remcos, siber suçlular tarafından kötü niyetli amaçlarla sıklıkla istismar ediliyor. Bu makalede, Remcos RAT'ın özellikleri, yetenekleri, etkileri ve savunmalarının yanı sıra, onun konuşlandırılmasıyla ilgili yakın zamanda yaşanan önemli olaylar ele alınmaktadır.

Dağıtım ve Bulaşma Yöntemleri

Kimlik Avı Saldırıları
Remcos genellikle kimlik avı saldırıları yoluyla dağıtılır; burada şüphelenmeyen kullanıcılar, kötü amaçlı dosyaları indirmeleri ve yürütmeleri için kandırılır. Bu kimlik avı e-postaları genellikle şunları içerir:

Fatura veya sipariş olduklarını iddia eden, PDF görünümüne sahip kötü amaçlı ZIP dosyaları.
Etkinleştirme sonrasında kötü amaçlı yazılımı dağıtmak üzere tasarlanmış, yerleşik kötü amaçlı makrolar içeren Microsoft Office belgeleri.

Kaçınma Teknikleri
Remcos, tespit edilmekten kaçınmak için aşağıdaki gibi gelişmiş teknikler kullanır:

  • İşlem Enjeksiyonu veya İşlem Boşaltma : Bu yöntem, Remcos'un meşru bir işlem içinde yürütülmesine olanak tanır ve böylece antivirüs yazılımı tarafından algılanmayı önler.
  • Kalıcılık Mekanizmaları : Remcos, kurulduktan sonra arka planda kullanıcıdan gizlenerek çalışmasına izin veren mekanizmalar kullanarak aktif kalmasını sağlar.

Komuta ve Kontrol (C2) Altyapısı

Remcos'un temel yeteneği Komuta ve Kontrol (C2) işlevselliğidir. Kötü amaçlı yazılım, C2 sunucusuna giderken iletişim trafiğini şifreleyerek ağ güvenlik önlemlerinin verilere müdahale etmesini ve analiz etmesini zorlaştırıyor. Remcos, C2 sunucuları için birden fazla alan oluşturmak amacıyla Dağıtılmış DNS (DDNS) kullanır. Bu teknik, kötü amaçlı yazılımın, bilinen kötü amaçlı alanlara giden trafiği filtrelemeye dayanan güvenlik korumalarından kaçmasına yardımcı olarak esnekliğini ve kalıcılığını artırır.

Remcos RAT'ın yetenekleri

Remcos RAT, saldırganlara çok sayıda yetenek sunan, virüslü sistemlerin kapsamlı kontrolünü ve istismarını mümkün kılan güçlü bir araçtır:

Ayrıcalık Yükselişi
Remcos, virüs bulaşmış bir sistemde Yönetici izinleri kazanarak şunları yapabilir:

  • Kullanıcı Hesabı Denetimini (UAC) devre dışı bırakın.
  • Yükseltilmiş ayrıcalıklarla çeşitli kötü amaçlı işlevleri yürütün.

Savunmadan Kaçınma
Remcos, süreç enjeksiyonunu kullanarak kendisini meşru süreçlerin içine yerleştirir ve antivirüs yazılımının algılamasını zorlaştırır. Ek olarak, arka planda çalışabilme özelliği, varlığını kullanıcılardan daha da gizler.

Veri toplama

Remcos, virüslü sistemden aşağıdakiler de dahil olmak üzere geniş bir yelpazedeki verileri toplama konusunda uzmandır:

  • Tuş vuruşları
  • Ekran görüntüleri
  • Ses kayıtları
  • Pano içeriği
  • Saklanan şifreler

Remcos RAT Enfeksiyonunun Etkisi

Remcos enfeksiyonunun sonuçları hem bireysel kullanıcıları hem de kuruluşları etkileyen önemli ve çok yönlüdür:

  • Hesap Devralma
    Remcos, tuş vuruşlarını günlüğe kaydederek ve şifreleri çalarak saldırganların çevrimiçi hesapları ve diğer sistemleri ele geçirmesine olanak tanır ve potansiyel olarak daha fazla veri hırsızlığına ve bir kuruluşun ağına yetkisiz erişime yol açabilir.
  • Veri hırsızlığı
    Remcos, virüslü sistemden hassas verileri sızdırma yeteneğine sahiptir. Bu, doğrudan ele geçirilen bilgisayardan veya çalıntı kimlik bilgileri kullanılarak erişilen diğer sistemlerden veri ihlallerine neden olabilir.
  • Devam Eden Enfeksiyonlar
    Remcos'un bulaşması, ek kötü amaçlı yazılım türlerinin dağıtılması için bir ağ geçidi görevi görebilir. Bu, fidye yazılımı bulaşması gibi sonraki saldırı riskini artırarak hasarı daha da kötüleştirir.

Remcos Kötü Amaçlı Yazılımlara Karşı Koruma

Kuruluşlar Remcos enfeksiyonlarına karşı korunmak için çeşitli stratejiler ve en iyi uygulamaları benimseyebilir:

E-posta Taraması
Şüpheli e-postaları tespit eden ve engelleyen e-posta tarama çözümlerinin uygulanması, Remcos'un kullanıcıların gelen kutularına ilk teslimini engelleyebilir.

Etki Alanı Analizi
Uç noktalar tarafından talep edilen alan adı kayıtlarının izlenmesi ve analiz edilmesi, Remcos ile ilişkili olabilecek genç veya şüpheli alan adlarının belirlenmesine ve engellenmesine yardımcı olabilir.

Ağ Trafiği Analizi
Trafiği standart dışı protokoller kullanarak şifreleyen Remcos çeşitleri, daha fazla araştırma için olağandışı trafik modellerini işaretleyebilen ağ trafiği analizi yoluyla tespit edilebilir.

Uç Nokta Güvenliği
Remcos enfeksiyonlarını tespit etme ve iyileştirme yeteneğine sahip uç nokta güvenlik çözümlerinin dağıtılması çok önemlidir. Bu çözümler, kötü amaçlı yazılımı tanımlamak ve etkisiz hale getirmek için belirlenmiş risk göstergelerine dayanır.

CrowdStrike Kesintisinin İstismarı

Yakın zamanda yaşanan bir olayda siber suçlular, Remcos RAT'ı dağıtmak için siber güvenlik firması CrowdStrike'ın dünya çapındaki kesintisinden yararlandı. Saldırganlar, 'crowdstrike-hotfix.zip' adlı bir ZIP arşiv dosyası dağıtarak Latin Amerika'daki CrowdStrike müşterilerini hedef aldı. Bu dosya, daha sonra Remcos RAT yükünü başlatan bir kötü amaçlı yazılım yükleyicisi olan Hijack Loader'ı içeriyordu.

ZIP arşivi, İspanyolca talimatlar içeren bir metin dosyası ('instrucciones.txt') içeriyordu ve hedefleri, iddiaya göre sorunu çözmek için yürütülebilir bir dosyayı ('setup.exe') çalıştırmaya teşvik ediyordu. İspanyolca dosya adlarının ve talimatların kullanılması, Latin Amerika merkezli CrowdStrike müşterilerini hedefleyen hedefli bir kampanyaya işaret ediyor.

Çözüm

Remcos RAT, Windows sistemleri için önemli bir tehdit oluşturan güçlü ve çok yönlü bir kötü amaçlı yazılımdır. Tespitten kaçma, yüksek ayrıcalıklar elde etme ve kapsamlı veri toplama yeteneği, onu siber suçlular arasında tercih edilen bir araç haline getiriyor. Kuruluşlar, dağıtım yöntemlerini, yeteneklerini ve etkilerini anlayarak bu kötü amaçlı yazılıma karşı daha iyi savunma yapabilir. Sağlam güvenlik önlemleri uygulamak ve kimlik avı saldırılarına karşı tetikte olmak, Remcos RAT'ın oluşturduğu riski azaltmada önemli adımlardır.

SpyHunter RemcosRAT'u Algılar ve Kaldırır

RemcosRAT Video

İpucu: Sesi AÇIN ve videoyu Tam Ekran modunda izleyin .

Dosya Sistemi Detayları

RemcosRAT aşağıdaki dosyaları oluşturabilir:
Hepsini genişlet | Hepsini Daralt
# Dosya adı MD5 Tespitler
1. 7g1cq51137eqs.exe aeca465c269f3bd7b5f67bc9da8489cb 83
2. 321.exe d435cebd8266fa44111ece457a1bfba1 45
3. windslfj.exe 968650761a5d13c26197dbf26c56552a 5
4. Legit Program.exe cd2c23deea7f1eb6b19a42fd3affb0ee 3
5. unseen.exe d8cff8ec41992f25ef3127e32e379e3b 2
6. file.exe c41f7add0295861e60501373d87d586d 1
7. e12cd6fe497b42212fa8c9c19bf51088 e12cd6fe497b42212fa8c9c19bf51088 0
8. 50a62912a3a282b1b11f78f23d0e5906 50a62912a3a282b1b11f78f23d0e5906 0
Daha fazla dosya

Kayıt defteri detayları

RemcosRAT, aşağıdaki kayıt defteri girdisini veya kayıt defteri girdilerini oluşturabilir:
Regexp file mask
%APPDATA%\aitagent\aitagent.exe
%APPDATA%\Analysernes1.exe
%APPDATA%\Audiohd.exe
%APPDATA%\Bagsmks8.exe
%APPDATA%\Behandlingens[RANDOM CHARACTERS].exe
%APPDATA%\Brnevrelser[RANDOM CHARACTERS].exe
%appdata%\calc.exe
%APPDATA%\chrome\chrome.exe
%APPDATA%\deseret.pif
%APPDATA%\explorer\explore.exe
%APPDATA%\Extortioner.exe
%APPDATA%\firewall.exe
%APPDATA%\foc\foc.exe
%APPDATA%\Holmdel8.exe
%APPDATA%\Install\laeu.exe
%APPDATA%\Irenas.exe
%APPDATA%\Javaw\Javaw.exe
%APPDATA%\Machree[RANDOM CHARACTERS].exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.exe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\firewall.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Holmdel8.vbe
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Legit Program.exe
%APPDATA%\Mozila\Mozila.exe
%APPDATA%\newremcos.exe
%APPDATA%\remcos.exe
%APPDATA%\SearchUI.exe
%APPDATA%\Smartse\smartse.exe
%AppData%\spoolsv.exe
%APPDATA%\System\logs.dat
%APPDATA%\Tornlst.exe
%APPDATA%\WindowsDefender\WindowsDefender.exe
%PROGRAMFILES%\AppData\drivers.exe
%TEMP%\Name of the melted file.exe
%WINDIR%\System32\remcomsvc.exe
%WINDIR%\SysWOW64\remcomsvc.exe
HKEY..\..\..\..{RegistryKeys}
SOFTWARE\Microsoft\Windows\CurrentVersion\Run\remcos
SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\remcos

dizinler

RemcosRAT, aşağıdaki dizini veya dizinleri oluşturabilir:

%ALLUSERSPROFILE%\task manager
%APPDATA%\Badlion
%APPDATA%\Extress
%APPDATA%\GoogleChrome
%APPDATA%\JagexLIVE
%APPDATA%\Remc
%APPDATA%\Shockwave
%APPDATA%\appdata
%APPDATA%\googlecrome
%APPDATA%\hyerr
%APPDATA%\loader
%APPDATA%\pdf
%APPDATA%\remcoco
%APPDATA%\ujmcos
%APPDATA%\verify
%APPDATA%\windir
%AppData%\remcos
%PROGRAMFILES(x86)%\Microsft Word
%TEMP%\commonafoldersz
%TEMP%\remcos
%Userprofile%\remcos
%WINDIR%\SysWOW64\Adobe Inc
%WINDIR%\SysWOW64\remcos
%WINDIR%\SysWOW64\skype
%WINDIR%\System32\rel
%WINDIR%\System32\remcos
%WINDIR%\notepad++
%WINDIR%\remcos

Analiz raporu

Genel bilgi

Soyadı: Trojan.RemcosRAT
İmza durumu: No Signature

Bilinen Örnekler

MD5: b629b4b2de416b18b7f164960c705376
SHA1: bda1a71e87dcbdac25c0f017a60649bd9f1cd77a
SHA256: 3E47437FAEA7C2A72B93711AF831912E05716EF01C282ACD4B158C1E436D4F36
Dosya boyutu: 4.50 MB.4497920 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

  • File doesn't have "Rich" header
  • File doesn't have debug information
  • File doesn't have exports table
  • File doesn't have resources
  • File doesn't have security information
  • File has TLS information
  • File is 64-bit executable
  • File is either console or GUI application
  • File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
  • File is Native application (NOT .NET application)
Show 3 more
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Özellikleri

  • No Version Info
  • ntdll
  • x64

Blok Bilgileri

Toplam Blok Sayısı: 5,806
Potansiyel Olarak Zararlı Bloklar: 986
Beyaz Listeye Alınan Bloklar: 4,471
Bilinmeyen Bloklar: 349

Görsel Harita

... Veriler kırpıldı
0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Windows API Kullanımı

Kategori API
Syscall Use
  • ntdll.dll!NtAlertThreadByThreadId
  • ntdll.dll!NtApphelpCacheControl
  • ntdll.dll!NtClose
  • ntdll.dll!NtCreateSection
  • ntdll.dll!NtDeviceIoControlFile
  • ntdll.dll!NtEnumerateValueKey
  • ntdll.dll!NtFreeVirtualMemory
  • ntdll.dll!NtMapViewOfSection
  • ntdll.dll!NtOpenEvent
  • ntdll.dll!NtOpenFile
Show 26 more
  • ntdll.dll!NtOpenKey
  • ntdll.dll!NtOpenKeyEx
  • ntdll.dll!NtOpenSection
  • ntdll.dll!NtProtectVirtualMemory
  • ntdll.dll!NtQueryAttributesFile
  • ntdll.dll!NtQueryEvent
  • ntdll.dll!NtQueryInformationProcess
  • ntdll.dll!NtQueryInformationThread
  • ntdll.dll!NtQueryKey
  • ntdll.dll!NtQueryPerformanceCounter
  • ntdll.dll!NtQuerySecurityObject
  • ntdll.dll!NtQueryValueKey
  • ntdll.dll!NtQueryVirtualMemory
  • ntdll.dll!NtReleaseWorkerFactoryWorker
  • ntdll.dll!NtRemoveIoCompletion
  • ntdll.dll!NtSetEvent
  • ntdll.dll!NtSetInformationThread
  • ntdll.dll!NtSetInformationVirtualMemory
  • ntdll.dll!NtSetInformationWorkerFactory
  • ntdll.dll!NtTestAlert
  • ntdll.dll!NtTraceControl
  • ntdll.dll!NtWaitForAlertByThreadId
  • ntdll.dll!NtWaitForSingleObject
  • ntdll.dll!NtWaitForWorkViaWorkerFactory
  • ntdll.dll!NtWriteFile
  • UNKNOWN
Network Winsock2
  • WSASocket
  • WSAStartup
Network Winsock
  • closesocket
  • connect
  • freeaddrinfo
  • getaddrinfo
  • setsockopt
Cert Store Read
  • CertOpenStore