Хеш / ИнформацияЗначение
SHA2563ec2af4b5c9bb02513b905dfa7217efdcec08dce2c3d9621bd4792d50e548cf1
MD5d3ccea4baebe97ae4b7adf2c95ce4e20
SHA12c2436357a6d2fa47fb895a6ff0a64ed2c6a1af3
Файл Adiwin_remcos_3ec2af4b5c9bb02513b905dfa7217efdcec08dce2c3d9621bd4792d50e548cf1
Тип файлаexe
Размер532,480 bytes
Первое обнаружение2024-04-25

Tehdit Значениеlendirmesi

Bu ornek, saldırganlara ele gecirilen sistemler uzerinde tam uzaktan kontrol imkani sunan bir RAT (Uzaktan Erisim Trojanı) olarak tespit edilmistir. Keylogging, ekran goruntüsü alma, dosya yonetimi ve kabuk erisimi gibi kapsamlı gozetleme yeteneklerine sahiptir.

Обнаруженные возможности

  • Uzaktan Erisim
  • Keylogging
  • Ekran Goruntüsü
  • Файл Yonetimi
  • Kabuk Erisimi

Метки MalwareBazaar

exeremcosRemcosRAT

Примечание к анализу

Bu ornek RemcosRAT ailesine ait ve MalwareBazaar platformundan alınmıstır. KEYDAL Guvenlik Arastirmaları tarafından metadata analizi gerceklestirilmis ve IOC veritabanına eklenmistir.

RemcosRAT — Профиль вредоносного ПО

RemcosRAT - BreakingSecurity.net tarafindan lisansli satilan uzaktan erisim araci. Mesbru pentesting araci olarak satilsa da kriminal aktörler tarafindan yaygin kullanilir. Process hollowing, keylogger, clipboard/audio/screenshot izleme, Chrome kimlik bilgisi hirsizligi, UAC bypass, TLS 1.3 sifreli C2.

Тип вредоносного ПО
RAT
Язык программирования
C++
C2 Протокол
TCP/RC4
Целевые системы
Windows
Другие названия (AKA)
Remcos, Breaking-Security

Технические детали

TCP port 2404 (varsayilan), RC4 veya XOR sifreleme, C++ ile gelistirilmis, PE injection, UAC bypass (CMSTPLUA), AMSI bypass, Anti-debug (GetTickCount/RDTSC), DGA destekli C2, Keylogger, Screenshot, Audio

Атрибуция / Актор угрозы

Breaking Security firmasinin isvicre tabanli olmasi nedeniyle ilk gelistirme AB'de gerceklestirilmistir; ancak surekli dunya genelinde siber suclu topluluklari tarafindan kullanilmaktadir.

Возможности и поведение

Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması

Список IOC (14 индикаторов)

IOC — RemcosRAT
# SHA256 3ec2af4b5c9bb02513b905dfa7217efdcec08dce2c3d9621bd4792d50e548cf1 # MD5 d3ccea4baebe97ae4b7adf2c95ce4e20 # IP 94.131.123.145 # IP 185.215.113.80 # IP 91.92.250.181 # IP 185.246.188.145 # IP 45.61.137.231 # MUTEX Remcos-v3.8.0_MUTEX_2025 # MUTEX Remcos-HI1XVE1MNF # REGISTRY HKCUSoftwareRemcos_v3.8.0keylogs # REGISTRY HKCUSoftwareMicrosoftWindowsCurrentVersionRunRemcos # FILEPATH C:UsersPublic emcos.exe # FILEPATH %APPDATA%MicrosoftRemcos emcos.exe # FILEPATH %APPDATA%Remcoslogs.dat
ТипЗначениеПримечание
sha256 3ec2af4b5c9bb02513b905dfa7217efdcec08dce2c3d9621bd4792d50e548cf1
md5 d3ccea4baebe97ae4b7adf2c95ce4e20
ip 94.131.123.145 C2:2404
ip 185.215.113.80 C2:4782
ip 91.92.250.181 C2:80
ip 185.246.188.145 RemcosRAT C2
ip 45.61.137.231 RemcosRAT ABD BH
mutex Remcos-v3.8.0_MUTEX_2025 RemcosRAT v3.8 2025 varyant mutex
mutex Remcos-HI1XVE1MNF RemcosRAT mutex
registry HKCUSoftwareRemcos_v3.8.0keylogs RemcosRAT keylog kayit yolu
registry HKCUSoftwareMicrosoftWindowsCurrentVersionRunRemcos RemcosRAT autorun
filepath C:UsersPublic emcos.exe RemcosRAT drop location
filepath %APPDATA%MicrosoftRemcos emcos.exe RemcosRAT AppData persistence
filepath %APPDATA%Remcoslogs.dat RemcosRAT keylog dosyasi
RemcosRAT — Полный профиль →

C2 Серверы (8 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
breakingsecurity.net domain — TCP active —
paint.net domain — TCP active —
americanshippingline.com domain — TCP active —
purl.org domain — TCP active —
adobe.com domain — TCP active —
paint.net domain — TCP active —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
exeremcosRemcosRAT