Backdoor.Win32.REMCOS.GAK

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\remcos\logs.dat <- component file
• %User Temp%\install.bat <- executes the dropped copy of the malware

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\remcos\remcos.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Crea las carpetas siguientes:

• %Application Data%\remcos

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Remcos_Mutex_Inj

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
remcos = "%Application Data%\remcos\remcos.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\remcos_{Random}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\remcos_{Random}
EXEpath = {hex values}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Perform ping
• Enumerate drives
• List all files
• Open file/s
• Get file/s from affected computer
• Upload file/s to affected computer
• Delete file/s from affected computer
• Rename file/s from affected computer
• Create new directory
• Search a file from affected computer
• Download file from url
• Download file from local
• Enumerate process
• Terminate process
• Maximize/Minimize application
• Switch application
• Terminate application
• Open cmd
• Open webpage
• Open screen capture
• Open keylogger
• Set affected computer to send logs automatically
• Deletes cookies and stored browser logins
• Get screenshot
• Capture image from camera if available
• Capture voice from mic if available
• Acquire user password
• Display a messagebox to affected computer
• Sends keyboard input
• Sends mouse click
• Shutdown affected Computer
• Copy clipboard data
• Set clipboard data
• Clear clipboard data
• Manipulate registry entries