ハッシュ / 情報値
SHA256c4a9ef7db9783334e07106fb671d5e27e52285b18182a8c77103b699c8edf8a0
MD5f3f57458e239713f9c8456a26300b5e2
SHA1b8d8c459aa6d28ad662b827d4824504a17713d7b
ファイル AdiRFQ_18100000418350098.cmd
ファイル種別cmd
サイズ3,217,712 bytes
初回確認2024-06-12

Tehdit 値lendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

検出された機能

  • Uzaktan Erisim
  • Keylogging
  • Ekran Goruntüsü
  • ファイル Yonetimi
  • Kabuk Erisimi

MalwareBazaar タグ

cmdDBatLoaderremcosRemcosRAT

解析メモ

Bu ornek RemcosRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

RemcosRAT — マルウェアプロファイル

RemcosRAT - BreakingSecurity.net tarafindan lisansli satilan uzaktan erisim araci. Mesbru pentesting araci olarak satilsa da kriminal aktörler tarafindan yaygin kullanilir. Process hollowing, keylogger, clipboard/audio/screenshot izleme, Chrome kimlik bilgisi hirsizligi, UAC bypass, TLS 1.3 sifreli C2.

マルウェアの種類
RAT
プログラミング言語
C++
C2プロトコル
TCP/RC4
標的システム
Windows
別名 (AKA)
Remcos, Breaking-Security

技術詳細

TCP port 2404 (varsayilan), RC4 veya XOR sifreleme, C++ ile gelistirilmis, PE injection, UAC bypass (CMSTPLUA), AMSI bypass, Anti-debug (GetTickCount/RDTSC), DGA destekli C2, Keylogger, Screenshot, Audio

アトリビューション / 脅威アクター

Breaking Security firmasinin isvicre tabanli olmasi nedeniyle ilk gelistirme AB'de gerceklestirilmistir; ancak surekli dunya genelinde siber suclu topluluklari tarafindan kullanilmaktadir.

機能と挙動

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

IOCリスト (2 件の指標)

IOC — RemcosRAT
# SHA256 c4a9ef7db9783334e07106fb671d5e27e52285b18182a8c77103b699c8edf8a0 # MD5 f3f57458e239713f9c8456a26300b5e2
タイプ値メモ
sha256 c4a9ef7db9783334e07106fb671d5e27e52285b18182a8c77103b699c8edf8a0
md5 f3f57458e239713f9c8456a26300b5e2
RemcosRAT — 完全プロファイルへ →

C2サーバー (このファミリーで8台のサーバーを記録)

アドレス タイプ ポート プロトコル ステータス 国
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
paint.net domain — TCP active —
americanshippingline.com domain — TCP active —
purl.org domain — TCP active —
adobe.com domain — TCP active —
paint.net domain — TCP active —

C2アドレスはKEYDALチームが手動で検証したマルウェア検体のみに基づいて提供されています。商用利用は禁止です。

タグ
cmdDBatLoaderremcosRemcosRAT