Backdoor.Win32.REMCOS.USMANEAGFO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %Application Data%\remcos\

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %AppDataLocal%\Uyxl\Uyxltrn.exe

Infiltra los archivos siguientes:

• %Desktop%\{malware filename minus last 7 characters} -> jpg file
• %AppDataLocal%\Uyxl\Uyxl -> copy of jpg file dropped in %Desktop%
• %AppDataLocal%\Uyxl\Uyxlmes.vbs -> script to run executable malware copy
• %AppDataLocal%\Uyxl\Uyxl_steo.hta -> script to run vbs file
• %User Temp%\uninstall.vbs -> uninstalls the malware
• %User Temp%\update.vbs -> updates the malware
• %User Temp%\restart.vbs -> restarts the malware
• %Application Data%\remcos\logs.dat -> record of user keystrokes
• %User Temp%\install.vbs -> installs the malware
• %Application Data%\remcos\remcos.exe

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Uyxl
• Remcos_Mutex_Inj
• Remcos-JTF5PJ
• Mutex_RemWatchdog

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• %System%\TapiUnattend.exe
• %System%\svchost.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Uyxl = %AppDataLocal%\Uyxl\Uyxl_steo.hta

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Policies\Run
remcos = %Application Data%\remcos\remcos.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
WD = 3492

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
pth_unenc = %System%\TapiUnattend.exe

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
v = 2.5.0 Pro

Robo de información

Recopila los siguientes datos:

• Computer name
• User name
• Home drive
• Logon server
• Processor architecture
• Windows version
• System type (x64, x86)
• User access (if admin or not)
• Memory information
• Browser logins and cookies
• User keystrokes
• Session name
• User profile
• User domain

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• Delete files
• Rename files
• Upload files
• Download files
• Browse directories
• Obtain file/directory attributes
• Execute files
• Open files
• Activate keylogger
• Copy and paste text to and from clipboard
• Create shortcuts
• Retrieve logins and cookies from the following browsers:
  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer
• Ping an address
• Display a messagebox
• Shutdown machine
• Put machine to sleep
• Terminate processes
• Perform registry changes
• Display image
• Play alarm
• Play/record audio
• List windows
• Send keyboard/mouse input
• Execute shell commands
• Open the command prompt
• Open the event viewer
• Use the camera