ハッシュ / 情報値
SHA25691e4bb8408db1e54d407d1859cbdde5c9df1a70c755474b5c7542ad661e30d00
MD5ee688e51710c1934c41569aa9f163a7b
SHA17cbff5e6ba0f471116010ee8606686839e457193
ImpHash8d5087ff5de35c3fbb9f212b47d63cad
ファイル AdixIsAJb1izaR6.exe
ファイル種別exe
サイズ494,592 bytes
初回確認2024-05-09

Tehdit 値lendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

検出された機能

  • Uzaktan Erisim
  • Keylogging
  • Ekran Goruntüsü
  • ファイル Yonetimi
  • Kabuk Erisimi

MalwareBazaar タグ

exeremcosRemcosRAT

解析メモ

Bu ornek RemcosRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

RemcosRAT — マルウェアプロファイル

RemcosRAT - BreakingSecurity.net tarafindan lisansli satilan uzaktan erisim araci. Mesbru pentesting araci olarak satilsa da kriminal aktörler tarafindan yaygin kullanilir. Process hollowing, keylogger, clipboard/audio/screenshot izleme, Chrome kimlik bilgisi hirsizligi, UAC bypass, TLS 1.3 sifreli C2.

マルウェアの種類
RAT
プログラミング言語
C++
C2プロトコル
TCP/RC4
標的システム
Windows
別名 (AKA)
Remcos, Breaking-Security

技術詳細

TCP port 2404 (varsayilan), RC4 veya XOR sifreleme, C++ ile gelistirilmis, PE injection, UAC bypass (CMSTPLUA), AMSI bypass, Anti-debug (GetTickCount/RDTSC), DGA destekli C2, Keylogger, Screenshot, Audio

アトリビューション / 脅威アクター

Breaking Security firmasinin isvicre tabanli olmasi nedeniyle ilk gelistirme AB'de gerceklestirilmistir; ancak surekli dunya genelinde siber suclu topluluklari tarafindan kullanilmaktadir.

機能と挙動

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOCリスト (2 件の指標)

IOC — RemcosRAT
# SHA256 91e4bb8408db1e54d407d1859cbdde5c9df1a70c755474b5c7542ad661e30d00 # MD5 ee688e51710c1934c41569aa9f163a7b
タイプ値メモ
sha256 91e4bb8408db1e54d407d1859cbdde5c9df1a70c755474b5c7542ad661e30d00
md5 ee688e51710c1934c41569aa9f163a7b
RemcosRAT — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
paint.net domain — TCP active —
americanshippingline.com domain — TCP active —
purl.org domain — TCP active —
adobe.com domain — TCP active —
paint.net domain — TCP active —

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
exeremcosRemcosRAT