Derin Statik Analiz — Remcos | Tehdit: high
파일 Kimliği
| SHA256 | 40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1 |
|---|---|
| MD5 | 496caac1fa6369e93cb48970f72e26da |
| SHA1 | bd2a22a6bab8f5d5c146f6162ad28244ab22985b |
| 파일 이름 | 07_remcos_agent_7.1.0.bin |
| 크기 | 514188 byte |
| 유형 | /opt/ksentinel/samples/40079f05ba7cdcca_07_remcos_agent_7.1.0.bin: PE32 executable (GUI) Intel 80386 |
| 컴파일 날짜 | 알 수 없음 |
| Packer | UPX |
C2 Sunucuları / Dropper Domainleri
| Adres | Tip | Durum |
|---|---|---|
BreakingSecurity.net | Domain | active |
pro.ip-api.com | Domain | active |
Tespit Edilen IOC'lar
| 값 | Tip |
|---|---|
BreakingSecurity.net | Domain |
pro.ip-api.com | Domain |
https://pro.ip-api.com/line/?key=QPVvv1rHQJD2pd2&field | URL |
\AppData\Local\Google\Chrome\User Data\Default\Cookies | Mutex |
\AppData\Local\Google\Chrome\User Data\Default\Login Data | Mutex |
Yetenekler
- Process Injection
- Process Hollowing
- Browser Credential Theft
- HTTP C2
- Anti-Debug
Şifreleme: -----BEGIN RSA PRIVATE KEY----- -----END RSA PRIVATE KEY-----
Geliştirici İpuçları
Telegram: @0D0H0L0P0T0X0 @0H0P0X0 @1H1P1X1 @2H2P2X2 @2L2V2b2l2x2
PE Analizi
PE 신뢰도lik Taraması
file entropy: 6.600577 (normal) fpu anti-disassembly: no imagebase: normal entrypoint: normal DOS stub: normal TLS directory: found - no functions timestamp: normal
Import Tablosu (özet)
Imported functions
Library
Name: KERNEL32.dll
Functions
Function
Hint: 323
Name: FindNextFileA
Function
Hint: 284
Name: ExpandEnvironmentStringsA
패밀리 Tespiti — String Kanıtı
Remcos Remcos Agent initialized ( Remcos restarted by watchdog! Remcos v
Remcos — 악성코드 프로필
RemcosRAT. SCAN DOC LOI.r00 multipart RAR. French LOI law lure. Five c2 substrings. Breaking-Security developer.
악성코드 유형
RAT
프로그래밍 언어
C++
C2 프로토콜
TCP/SSL
대상 시스템
Windows
다른 이름 (AKA)
RemcosRAT
기능 및 동작
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC 목록 (12 개 지표)
IOC — Remcos
#
bd2a22a6bab8f5d5c146f6162ad28244ab22985b
# SHA256
40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1
# MD5
496caac1fa6369e93cb48970f72e26da
# DOMAIN
BreakingSecurity.net
# DOMAIN
pro.ip-api.com
# MUTEX
\AppData\Local\Google\Chrome\User Data\Default\Cookies
# MUTEX
\AppData\Local\Google\Chrome\User Data\Default\Login Data
# FILEPATH
C:\Program File
# FILEPATH
C:\Window
# FILEPATH
T:\:d:l:t:
# FILEPATH
X:\:`:d:h:l:p:t:x:
# URL
https://pro.ip-api.com/line/?key=QPVvv1rHQJD2pd2&field
| 유형 | 값 | 메모 |
|---|---|---|
| bd2a22a6bab8f5d5c146f6162ad28244ab22985b | ||
| sha256 | 40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1 | |
| md5 | 496caac1fa6369e93cb48970f72e26da | |
| domain | BreakingSecurity.net | |
| domain | pro.ip-api.com | |
| mutex | \AppData\Local\Google\Chrome\User Data\Default\Cookies | |
| mutex | \AppData\Local\Google\Chrome\User Data\Default\Login Data | |
| filepath | C:\Program File | |
| filepath | C:\Window | |
| filepath | T:\:d:l:t: | |
| filepath | X:\:`:d:h:l:p:t:x: | |
| url | https://pro.ip-api.com/line/?key=QPVvv1rHQJD2pd2&field |
C2 서버 (이 패밀리에 대해 3개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| BreakingSecurity.net | domain | — | HTTP | active | — |
| pro.ip-api.com | domain | — | HTTP | active | — |
| UNKNOWN_HOST | unknown | 20343 | TCP | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.