Backdoor.Win32.REMCOS.USMANEAGBW

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\remcos\

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\remcos\remcos.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Temp%\install.vbs - execute the dropped malware copy
• %Application Data%\remcos\logs.dat - record of user activity\keystrokes

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %Program Files%\Internet Explorer\iexplore.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Remcos-6PE8QV
• Remcos_Mutex_Inj

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
remcos = "%Application Data%\remcos\remcos.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %Application Data%\remcos\remcos.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Remcos-{random}
exepath = "{hex values}"

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = "{random}"

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer name
• Username
• User profile
• User domain
• Home Drive
• Logon Server
• Processor Architecture
• Windows Version
• System Type (x64, x86)
• User access (if admin or not)
• Computer Memory Information (RAM, Virtual memory)

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Copy Directory
• Delete Directory
• Create Directory
• Move Directory
• Get Directory Information
• Get Drive Information\Status
• Get Mapped Drives
• Delete Mapped Drives
• Add Mapped Drives
• Dummy Speed Test
• Execute a command
• Run a process
• Change File Directory
• Copy File
• Link Files (Hard Link)
• Create Shortcut
• Delete File
• Check File Existence
• Enumerate Files
• Get File Attributes (Size, shortname, longname)
• Get File Location
• Delete File
• Empty Recycle Bin
• Modify File
• Install File
• Open File
• Read File
• Modify .ini files
• Activate Keylogger
• Perform Ping
• Display Messagebox
• Get Running Processes
• Terminate a Process
• Check if a process is running
• Delete Registry Key\Entry
• Enumerate Registry Key\Entry
• Modify\Add Registry Entry
• Upload Files
• Download Files
• Shutdown Affected Machine
• Put Machine to Sleep
• Play Sound
• Get active window
• Close a window
• Check if Window is open
• List windows
• Minimize windows
• Set window on top
• Move Window
• Wait for a window to be active
• Check user cookies and cache
• Clear Cookies and Cache
• Run the Command Prompt (CMD)
• Flash a window
• Obtain user Logs
• Capture Image
• Capture Audio
• Open web browser
• Send keyboard input
• Send mouse clicks
• Disable mouse\keyboard inputs
• Write text to clipboard
• Receive text from clipboard
• Clear clipboard data
• Check for CD drives
• Acquire User Passwords and Login Data