剖析 REMCOS RAT：对 2024 年广泛传播的恶意软件的深入分析，第三部分

在本系列多篇文章的前几篇文章中，Elastic 安全实验室团队的恶意软件研究人员分析了 REMCOS 的执行流程，详细介绍了其记录功能及其与 C2 的通信。在本文中，您将了解更多关于 REMCOS 配置结构及其 C2 命令的信息。

配置

在本节中，我们将全面概述恶意软件的配置字段。

配置表

研究人员成功恢复了大约 80% 的配置结构（56 个字段中的 45 个）。我们在下表中提供了详细的配置信息

整数到路径映射

REMCOS 为其某些“文件夹”字段使用自定义映射，而不是用户提供的字符串。

我们在下面提供了映射的详细信息

配置提取，内部视角

我们喜欢构建工具，并希望借此机会深入了解我们为帮助分析 REMCOS 等恶意软件系列而开发的工具类型。

我们开发了一个名为“conf-tool”的配置提取器，它不仅可以从特定样本中提取和解包配置，还可以通过修改重新打包配置。

首先，我们解包配置。

配置以 JSON 文档的形式保存到磁盘，每个字段都映射到其对应的类型。

我们将列表中的所有域替换为我们的 C2 模拟器的 IP 地址，以启动与样本的通信。

我们还启用控制台的日志记录模式 (2)

完成后，重新打包所有内容

瞧，我们有了控制台，样本尝试连接到我们的模拟器！

我们正在发布一个 REMCOS 恶意软件配置提取器，其中包括其中的一些功能。

C2 命令

在本节中，我们将列出我们已逆向的所有可由命令和控制 (C2) 执行的命令。此外，我们还提供精选命令子集的其他详细信息。

命令表

研究人员恢复了大约 95% 的命令（78 个中的 74 个）。我们在下表中提供了有关命令的信息

列出已安装应用程序命令

要列出已安装的应用程序，REMCOS 会迭代 Software\Microsoft\Windows\CurrentVersion\Uninstall 注册表项。对于每个子项，它会查询以下值

• 显示名称
• 发布者
• 显示版本
• 安装位置
• 安装日期
• 卸载字符串

执行 Shell 命令

Shell 命令使用 ShellExecuteW API 执行，参数为 cmd.exe /C {命令}。

获取主机地理位置命令

为了获取主机地理位置，REMCOS 使用 geoplugin.net API 并直接上传返回的 JSON 数据。

启动在线键盘记录器命令

在线键盘记录器采用与离线版本相同的键盘记录器结构。但是，数据不是写入磁盘，而是实时发送到 C2。

启动网络摄像头模块命令

REMCOS 使用外部模块进行网络摄像头录制。该模块是一个 DLL，必须从其 C2 接收并加载，作为命令参数的一部分。

加载模块后，您可以发送子命令来捕获和上传网络摄像头图片。

窃取密码命令

密码窃取很可能使用 3 个不同的 Nirsoft 二进制文件执行，由 "/sext" 参数标识。这些二进制文件从 C2 接收并注入到新创建的进程中。这两个元素都是命令参数的一部分。

/sext 参数指示软件将输出写入文件，每个输出文件名都是随机生成的并存储在恶意软件安装文件夹中。读取它们的内容并上传到 C2 后，它们将被删除。

还可以使用一个额外的 DLL，该 DLL 具有 FoxMailRecovery 导出。像其他二进制文件一样，该 DLL 作为命令参数的一部分从 C2 接收。顾名思义，该 DLL 很可能用于转储 FoxMail 数据

卸载命令

卸载命令将删除主机上所有与 Remcos 相关的文件和持久性注册表项。

首先，它会终止看门狗进程。

然后，它会删除所有录制文件（键盘记录、屏幕截图和音频录制）。

然后，它会删除其注册表持久性项。

最后，它通过在 %TEMP% 文件夹中创建并执行一个具有随机文件名的 Visual Basic 脚本来删除其安装文件，然后终止其进程。

以下是带有注释的生成脚本。

' Continue execution even if an error occurs
On Error Resume Next

' Create a FileSystemObject
Set fso = CreateObject("Scripting.FileSystemObject")

' Loop while the specified file exists
while fso.FileExists("C:\Users\Cyril\Desktop\corpus\0af76f2897158bf752b5ee258053215a6de198e8910458c02282c2d4d284add5.exe")

' Delete the specified file
fso.DeleteFile "C:\Users\Cyril\Desktop\corpus\0af76f2897158bf752b5ee258053215a6de198e8910458c02282c2d4d284add5.exe"

' End of the loop
wend

' Delete the script itself
fso.DeleteFile(Wscript.ScriptFullName)

重启命令

重启命令会终止看门狗进程，并使用生成的 Visual Basic 脚本重启 REMCOS 二进制文件。

以下是带有注释的生成脚本。

' Create a WScript.Shell object and run a command in the command prompt
' The command runs the specified .exe file
' The "0" argument means the command prompt window will not be displayed
CreateObject("WScript.Shell").Run "cmd /c ""C:\Users\Cyril\Desktop\corpus\0af76f2897158bf752b5ee258053215a6de198e8910458c02282c2d4d284add5.exe""", 0

' Create a FileSystemObject and delete the script itself
CreateObject("Scripting.FileSystemObject").DeleteFile(Wscript.ScriptFullName)

使用 Nirsoft 转储浏览器历史记录命令

与窃取密码命令类似，使用 Nirsoft 转储浏览器历史记录命令可能会使用另一个从 C2 接收的 Nirsoft 二进制文件，作为命令参数的一部分来窃取浏览器历史记录。同样，我们通过 /stext 参数来识别该二进制文件属于 Nirsoft。

提升进程权限命令

如果该进程尚未以管理员权限运行，提升进程权限命令将设置 HKCU/SOFTWARE/{mutex}/elev 注册表项，并使用与重启命令相同的方法重启恶意软件。

重启后，REMCOS 会在其初始化阶段检查 elev 值。如果该值存在，它将删除该值并利用其 UAC 绕过功能来提升其权限。

这是第三篇文章的结尾。在最后一部分中，我们将介绍使用 Elastic 技术检测和捕获 REMCOS 的策略。