Backdoor.Win32.REMCOS.TICOGCE

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\install.vbs ->-> deletes the original malware file and executes the copy
• %Application Data%\remcos\logs.dat -> contains the information stolen from the victim

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\System32\task.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• {Malware path and Malware name}
• %System%\WSCript.exe" "%User Temp%\install.vbs"
• %Application Data%\System32\task.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las carpetas siguientes:

• %Application Data%\System32\
• %Application Data%\remcos

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Mutex_RemWatchdog
• Remcos_Mutex_Inj

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
task = %Application Data%\System32\task.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Create, Enumerate, Modify and Delete Registry Keys and Values
• Create, Enumerate, Modify, Start, Stop and Delete Services
• Create Image
• Change Wallpaper
• Start or Stop Keylogger (Activities is logged in logs.dat)
• Restart, Sleep, Logs off or Shutdown affected Computer
• Copy clipboard data
• Set clipboard data
• Clear clipboard data
• Download file/s to affected computer
• Upload file/s from affected computer
• Delete file/s
• Rename file/s
• Enumerate Files
• Enumerate Process
• Terminate Process
• Download file
• Screen Capture
• Create Directory
• Delete Directory
• Change File attributes
• Play, Pause, Stop and Record Audio
• Show, Open, Maximize, Minimize and Exit/Close a Window
• Execute File
• Save Image
• Enumerates and Checks Open Window
• Pop-up a Menu or a Message Box
• Retrieve and Clear logins and login credentials and cookies from the following browsers:
  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer

Robo de información

Recopila los siguientes datos:

• Computer Name
• Windows Architecture (x32 or x64)
• User Privilage (Admin or Not)
• Username
• Locale Info
• Keyboard Input
• Mouse Activity
• User Keystrokes
• User Activity (Idle Time)
• Memory Information
• Enumerate Drives and Get Drive type

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Remcos-F5NWKC
exepath = {Hex Values}

HKEY_CURRENT_USER\Software\Remcos-F5NWKC
licence = {Hex Values}

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{File Name}

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{File Name}\Recent File List

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{File Name}\Settings