BKDR_REMCOS.TICOGBY

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\remcos\logs.dat <- component file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\remcos

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Remcos_Mutex_Inj

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Remcos-{random string}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Remcos-{random string}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random string}
lic = {hex values}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Perform ping
• Enumerate drives
• List all files
• Open file/s
• Get file/s from affected computer
• Upload file/s to affected computer
• Delete file/s from affected computer
• Rename file/s from affected computer
• Create new directory
• Search a file from affected computer
• Download file from url
• Download file from local
• Enumerate process
• Terminate process
• Maximize/Minimize application
• Switch application
• Terminate application
• Open cmd
• Open webpage
• Open screen capture
• Open keylogger
• Set affected computer to send logs automatically
• Deletes cookies and stored browser logins
• Get screenshot
• Capture image from camera if available
• Capture voice from mic if available
• Acquire user password
• Display a messagebox to affected computer
• Sends keyboard input
• Sends mouse click
• Shutdown affected Computer
• Copy clipboard data
• Set clipboard data
• Clear clipboard data
• Manipulate registry entries

However, as of this writing, the said sites are inaccessible.