概述
Remcos 是 2016 年公开售卖的一款远控工具，至今已更新 66+ 个版本，几乎每个月都会更新 1-2 个版本。该工具由一家名为 Breaking Security 的公司出售，虽然该公司表示他们出售的软件只能用于合法用途，对于不遵守其用户许可协议的用户将撤销其许可证。但远程控制工具的贩卖给攻击者建立一个潜在的僵尸网络提供了所需的一切条件。
每个 Remcos 许可证的价格从 58-389 欧元不等。其开发商 Breaking Security 还支持用户使用数字货币进行支付。这种远控可以完全控制和监测任何 Windows XP 及其之后的包括服务器在内的 Windows 系统。
仍在出售的 Remcos：
大版本时间线：
从发布说明来看，它目前仍很活跃，特别是小版本，作者几乎每几天就更新一次。
关联事件
Remcos 传播方式一般都是钓鱼邮件，附带附件以及内嵌宏代码。
通过观察最新活动，是通过 COVID-19 钓鱼邮件进行传播，附件中包含一个使用误导性 PDF 图标的可执行文件，该可执行文件一旦执行便会启动商业化 Remcos 远控木马。该木马执行后将自身注入到系统默认浏览器中并添加到注册表。下载并执行命令，键盘记录，屏幕记录以及使用摄像头和麦克风进行录音录像等功能。
事件：冒充菲律宾海关利用 COVID-19 话题投递 Remcos RAT 木马。
2020 年 3 月 16 日，有研究人员观察到针对各种国际贸易公司的电子邮件活动。这些电子邮件冒充了菲律宾海关，并声称其中包含由于 COVID-19 疫情影响，关闭贸易等新法规的信息。这些电子邮件包含压缩的 Remcos RAT 可执行文件和 Microsoft OneDrive URL。
样本分析
静态信息：
SHA256 | 5ccd2246b0c72f30fd5424d30793daf6227a4216468d2ea753d68d2fa3f22f89 |
SHA1 | f020b38bbc109bbc2ab6e6d72bc2b56621b5fce0 |
MD5 | 6a8a364d6b2db46bd7ad320cd72153a4 |
样本大小 | 94208 |
样本格式 | PE32 executable (GUI) Intel 80386, for MS Windows |
执行流程：
图示 Load 资源
图示 "SETTINGS" 资源段加密的数据
解密后发现配置信息中包含 C&C 地址（bogyz1-64752.portmap.io:6475）、通信密钥（此次分析样本为空）、互斥体（remcos_随机字符）、要窃取的电子邮件客户端凭证的目标服务商（yahoo，hotmail，outlook，gmail，mail）、键盘监听信息存放文件名称（logs.dat）等信息。
图示解密出的配置数据内容
https://github.com/Cisco-Talos/remcos-decoder/blob/master/remcos_decryptor.py
样本运行时创建的互斥体特点
Remcos_Mutex_Inj，Remcos_随机字符
通过 CMD 命令改变注册表项
由于该 RAT 客户端在生成木马时候需要设置密码，即从资源 SETTINGS 项中解密配置信息的 PASSWORD 项，侦听端口和连接服务器时需要使用相同的密码才能连接成功，因此，该密码可用于身份验证和网络流量加密。
未加 PASSWORD 的通信流量：明文传输
带有 PASSWORD 的通信流量：RC4 加密传输
主命令字 | 功能 |
ping | 心跳包 |
keepaliveoff | 在 console 中打印了一行日志 |
filemgr | 上传本地文件的信息或下载、执行文件 |
downloadfromurl | 下载并打开文件 |
downloadfromlocal | 直接执行指定的文件 |
getproclist | 上报进程列表 |
Prockill | 结束指定的进程 |
getwindows | 上报窗口列表 |
closewindow | 关闭窗口 |
maxwindow | 最大化窗口 |
restorewindow | 恢复窗口 |
closeprocfromwindow | 结束带指定窗口的进程 |
execcom | 利用 WinExec 执行文件 |
consolecmd | 执行 cmd 命令 |
openaddress | ShellExecuteW open |
initializescrcap | 初始化屏幕截图 |
freescrcap | 释放屏幕截图时的相关资源 |
initklfrm | 初始化键盘记录 |
startonlinekl | 开启实时键盘记录 |
stoponlinekl | 停止实时键盘记录 |
getofflinelogs | 上传离线模式下记录的按键信息 |
autogetofflinelogs | 自动获取离线下的按键信息 |
deletekeylog | 删除键盘记录的文件 |
clearlogins | 清除 cookies 及 login 信息 |
getscrslist | 上报文件列表信息 |
dwnldscr | 上报存储在本地截图信息 |
initcamcap | 初始化远程桌面时的 socket 等资源 |
freecamcap | 释放远程桌面时的资源 |
miccapture | 获取播放的声音的信息 |
stopmiccapture | 停止监控声音设备 |
deletefile | 删除文件 |
close | 结束某进程 |
uninstall | 删除木马安装时的相关信息 |
updatefromurl | 从网上下载并更新木马文件 |
updatefromlocal | 利用已下载好的文件更新木马文件 |
msgbox | 弹框 |
keyinput | 模拟按键 |
mclick | 点击鼠标 |
OSpower | 操作电源按钮 |
getclipboard | 获取剪贴板中的信息 |
setclipboard | 设置剪贴板中的数据 |
emptyclipboard | 清空剪贴板 |
dlldata | 将 dll 映射进内存 |
dllurl | 将下载的 dll 映射进内存 |
initregedit | 注册表相关的操作 |
initchat | 初始化聊天相关的功能 |
renamebck | 改注册表中的 name 项 |
initsocks | 初始化 socket |
ATT&CK 技术分析
Domain | ID | Name | Use | |
Enterprise | T1548 | .002 | Abuse Elevation Control Mechanism: Bypass User Access Control | Remcos has a command for UAC bypassing.[3] |
Enterprise | T1123 | Audio Capture | Remcos can capture data from the system's microphone.[3] | |
Enterprise | T1547 | .001 | Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder | Remcos can add itself to the Registry key HKCU\Software\Microsoft\Windows\CurrentVersion\Run for persistence.[3] |
Enterprise | T1115 | Clipboard Data | Remcos steals and modifies data from the clipboard.[1] | |
Enterprise | T1059 | .003 | Command and Scripting Interpreter: Windows Command Shell | Remcos can launch a remote command line to execute commands on the victim's machine.[3] |
.006 | Command and Scripting Interpreter: Python | Remcos uses Python scripts.[1] | ||
Enterprise | T1083 | File and Directory Discovery | Remcos can search for files on the infected machine.[1] | |
Enterprise | T1105 | Ingress Tool Transfer | Remcos can upload and download files to and from the victim's machine.[1] | |
Enterprise | T1056 | .001 | Input Capture: Keylogging | Remcos has a command for keylogging.[3][2] |
Enterprise | T1112 | Modify Registry | Remcos has full control of the Registry, including the ability to modify it.[1] | |
Enterprise | T1027 | Obfuscated Files or Information | Remcos uses RC4 and base64 to obfuscate data, including Registry entries and file paths.[2] | |
Enterprise | T1055 | Process Injection | Remcos has a command to hide itself through injecting into another process.[3] | |
Enterprise | T1090 | Proxy | Remcos uses the infected hosts as SOCKS5 proxies to allow for tunneling and proxying.[1] | |
Enterprise | T1113 | Screen Capture | Remcos takes automated screenshots of the infected machine.[1] | |
Enterprise | T1125 | Video Capture | Remcos can access a system's webcam and take pictures.[3] | |
Enterprise | T1497 | .001 | Virtualization/Sandbox Evasion: System Checks | Remcos searches for Sandboxie and VMware on the system.[2] |
点击“阅读原文”，查看更多参考信息。
关于微步在线研究响应团队
微步情报局，即微步在线研究响应团队，负责微步在线安全分析与安全服务业务，主要研究内容包括威胁情报自动化研发、高级APT组织&黑产研究与追踪、恶意代码与自动化分析技术、重大事件应急响应等。
微步情报局由精通木马分析与取证技术、Web攻击技术、溯源技术、大数据、AI等安全技术的资深专家组成，并通过自动化情报生产系统、云沙箱、黑客画像系统、威胁狩猎系统、追踪溯源系统、威胁感知系统、大数据关联知识图谱等自主研发的系统，对微步在线每天新增的百万级样本文件、千万级URL、PDNS、Whois数据进行实时的自动化分析、同源分析及大数据关联分析。微步情报局自设立以来，累计率先发现了包括数十个境外高级APT组织针对我国关键基础设施和金融、能源、政府、高科技等行业的定向攻击行动，协助数百家各个行业头部客户处置了肆虐全球的WannaCry勒索事件、BlackTech定向攻击我国证券和高科技事件、海莲花长期定向攻击我国海事/高科技/金融的攻击活动、OldFox定向攻击全国上百家手机行业相关企业的事件。
微步在线
研究响应中心
-长按识别二维码关注我们-
