RemcosRAT — xtuHcaTJtwiA.exe [0e43af05]

Tehdit Valorlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Capacidades detectadas

• Uzaktan Erisim
• Keylogging
• Ekran Goruntüsü
• Arquivo Yonetimi
• Kabuk Erisimi

Tags do MalwareBazaar

Nota de análise

Bu ornek RemcosRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

RemcosRAT — Perfil do malware

RemcosRAT - BreakingSecurity.net tarafindan lisansli satilan uzaktan erisim araci. Mesbru pentesting araci olarak satilsa da kriminal aktörler tarafindan yaygin kullanilir. Process hollowing, keylogger, clipboard/audio/screenshot izleme, Chrome kimlik bilgisi hirsizligi, UAC bypass, TLS 1.3 sifreli C2.

Tipo de malware

RAT

Linguagem de programação

C++

Protocolo C2

TCP/RC4

Sistemas-alvo

Windows

Também conhecido como (AKA)

Remcos, Breaking-Security

Detalhes técnicos

TCP port 2404 (varsayilan), RC4 veya XOR sifreleme, C++ ile gelistirilmis, PE injection, UAC bypass (CMSTPLUA), AMSI bypass, Anti-debug (GetTickCount/RDTSC), DGA destekli C2, Keylogger, Screenshot, Audio

Atribuição / Ator da ameaça

Breaking Security firmasinin isvicre tabanli olmasi nedeniyle ilk gelistirme AB'de gerceklestirilmistir; ancak surekli dunya genelinde siber suclu topluluklari tarafindan kullanilmaktadir.

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (2 indicadores)

IOC — RemcosRAT Copiar

# SHA256 0e43af051e536e7c731f3d856baaf644e474c4c80ea22cb0fb4386d42c2e1056 # MD5 fc489aa077f6db53303bcf8d0404528a

Tipo	Valor	Nota
sha256	0e43af051e536e7c731f3d856baaf644e474c4c80ea22cb0fb4386d42c2e1056
md5	fc489aa077f6db53303bcf8d0404528a

Servidores C2 (8 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
breakingsecurity.net	domain	—	TCP	active	—
breakingsecurity.net	domain	—	TCP	active	—
breakingsecurity.net	domain	—	TCP	active	—
paint.net	domain	—	TCP	active	—
americanshippingline.com	domain	—	TCP	active	—
purl.org	domain	—	TCP	active	—
adobe.com	domain	—	TCP	active	—
paint.net	domain	—	TCP	active	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.