Modificado por: : Warren Adam Sto. Tomas

 

TR/AD.Remcos.caakn(AntiVir);

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Backdoor

  • Destrutivo:
    Não

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Eliminado por otro tipo de malware, Descargado de Internet, Se envía como spam vía correo electrónico

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam. It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

  Detalhes técnicos

Tipo de compactação: 506,880 bytes
Tipo de arquivo: EXE
Residente na memória: Sim
Data de recebimento das amostras iniciais: 02 de novembro de 2019
Carga útil: Connects to URLs/IPs

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %User Profile%\OEM\systeminfo.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

)

Infiltra los archivos siguientes:

  • %Application Data%\remcos\logs.dat -> record of user's activities/keylogs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Agrega los procesos siguientes:

  • {malware path and file name}
  • %Program Files%\Internet Explorer\iexplore.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Crea las carpetas siguientes:

  • %Application Data%\remcos
  • %User Profile%\OEM

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

)

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • Remcos_Mutex_Inj
  • Remcos-{random}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\OEM\systeminfo.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\remcos_{Random}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Activate keylogger
  • Capture audio, or stop capture
  • Capture screen
  • Change desktop wallpaper
  • Change, pause, stop, or start a service
  • Clear browser hisotry
  • Close a window
  • Close affected system's camera
  • Close connection
  • Connect to a specified server
  • Control affected system's camera
  • Deactive keylogger
  • Delete registry key/entry
  • Enumerate registry key/entry
  • Modify/add registry entry
  • Delete file or directory
  • Download a file
  • Read a file
  • Save a file
  • Upload a file
  • Empty clipboard data
  • Execute a command
  • Get active program's window title
  • Get clipboard data
  • Get process ID of a window
  • Get system information
  • Hide or show a window
  • List files in specified directory
  • List installed applications
  • List keyboard information
  • List running processes
  • List windows
  • Log off, restart, or shut down the affected system
  • Modify a window
  • Play an audio in the affected system
  • Restart itself
  • Show message box
  • Terminate a process
  • Terminate itself
  • Uninstall itself
  • Update itself

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Remcos-{random}

Hace lo siguiente:

  • This Backdoor gathers the following information and reports it to its servers:
    • Computer Name
    • Operating System Version
    • Product Name
    • Primary Adapter
    • User Access (Admin or Non-admin)
    • User Profile
    • User Name
    • User Domain
    • Processor Revision No.
    • Processor Level
    • Processor Identifier
    • Processor Architecture
    • System Type (32-bit or 64-bit)

  Solução

Mecanismo de varredura mínima: 9.850
Primeiro arquivo padrão VSAPI: 15.510.02
Data do lançamento do primeiro padrão VSAPI: 21 de novembro de 2019
VSAPI OPR Pattern Version: 15.511.00
VSAPI OPR Pattern veröffentlicht am: 22 de novembro de 2019

Step 2

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 4

Reiniciar en modo seguro

[ Saber mais ]

Step 5

Eliminar este valor del Registro

[ Saber mais ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
    • Load = "%User Profile%\OEM\systeminfo.exe"

Step 6

Eliminar esta clave del Registro

[ Saber mais ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • HKEY_CURRENT_USER\Software\Remcos-{random}

Step 7

Buscar y eliminar estas carpetas

[ Saber mais ]
Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
  • %Application Data%\remcos
  • %User Profile%\OEM

Step 8

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Backdoor.MSIL.REMCOS.AOJ En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Participe da nossa pesquisa!