Backdoor.Win32.REMCOS.USMANEAGBW

Instalación

Agrega las carpetas siguientes:

• %Application Data%\remcos\

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\remcos\remcos.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Infiltra los archivos siguientes:

• %User Temp%\install.vbs - execute the dropped malware copy
• %Application Data%\remcos\logs.dat - record of user activity\keystrokes

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Agrega los procesos siguientes:

• %Program Files%\Internet Explorer\iexplore.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Remcos-6PE8QV
• Remcos_Mutex_Inj

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
remcos = "%Application Data%\remcos\remcos.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %Application Data%\remcos\remcos.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Remcos-{random}
exepath = "{hex values}"

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = "{random}"

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

Robo de información

Recopila los siguientes datos:

• Computer name
• Username
• User profile
• User domain
• Home Drive
• Logon Server
• Processor Architecture
• Windows Version
• System Type (x64, x86)
• User access (if admin or not)
• Computer Memory Information (RAM, Virtual memory)

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• Copy Directory
• Delete Directory
• Create Directory
• Move Directory
• Get Directory Information
• Get Drive Information\Status
• Get Mapped Drives
• Delete Mapped Drives
• Add Mapped Drives
• Dummy Speed Test
• Execute a command
• Run a process
• Change File Directory
• Copy File
• Link Files (Hard Link)
• Create Shortcut
• Delete File
• Check File Existence
• Enumerate Files
• Get File Attributes (Size, shortname, longname)
• Get File Location
• Delete File
• Empty Recycle Bin
• Modify File
• Install File
• Open File
• Read File
• Modify .ini files
• Activate Keylogger
• Perform Ping
• Display Messagebox
• Get Running Processes
• Terminate a Process
• Check if a process is running
• Delete Registry Key\Entry
• Enumerate Registry Key\Entry
• Modify\Add Registry Entry
• Upload Files
• Download Files
• Shutdown Affected Machine
• Put Machine to Sleep
• Play Sound
• Get active window
• Close a window
• Check if Window is open
• List windows
• Minimize windows
• Set window on top
• Move Window
• Wait for a window to be active
• Check user cookies and cache
• Clear Cookies and Cache
• Run the Command Prompt (CMD)
• Flash a window
• Obtain user Logs
• Capture Image
• Capture Audio
• Open web browser
• Send keyboard input
• Send mouse clicks
• Disable mouse\keyboard inputs
• Write text to clipboard
• Receive text from clipboard
• Clear clipboard data
• Check for CD drives
• Acquire User Passwords and Login Data