Remcos远控木马每月更新，利用钓鱼邮件实施攻击

一、概述

     Remcos远控是2016年公开售卖的远控工具，至今已更新66个版本，几乎每个月都会更新1-2个版本，本次捕获的样本即为最新版2.5.0，团伙利用附带CVE-2017-11882漏洞的文档进行鱼叉攻击，分别投放Remcos RAT以及一个基于powershell 的RAT。

       2018年，腾讯安全威胁情报中心就曾监测到Remcos远控利用CVE-2017-11882漏洞进行传播，时隔两年之后仍然发现攻击者依然沿用老套路继续攻击。

二、详细分析

如果机器仍未修复CVE-2017-11882漏洞，钓鱼邮件被激活后会执行PS代码：

get.ps1下载一段混淆了的代码，解密后看到会去下载SyncAppvPublishingServer.vbs并设置启动项

SyncAppvPublishingServer.vbs设启动项

启动项目录:C:\Users\$UserName$\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\SyncAppvPublishingServer.vbs

SyncAppvPublishingServer.vb中有一段混淆的函数Attack

解密后是一段PS代码

Attack功能一，下载hxxp://www.m9c.net/uploads/15862993101.jpg，可以看到是一个PE文件，一个.net编写的注入程序，负责把15863019001.jpg注入到calc.exe，rundll32.exe进程中

Attack功能二，下载15863019001.jpg地址：hxxp://www.m9c.net/uploads/15863019001.jpg，这个就是是商业远控Remcos Pro 2.5.0版

木马在资源settings中存储着C2密文，加密方式为RC4

解密后得到C&C:185.140.53.6:909，通信key为kings

Remcos启动后会寻找系统默认的web浏览器，并把自身代码注入到web浏览器中。

Remcos功能：远程桌面控制，远程聊天，文件管理，远程CMD，服务管理，已安装软件管理等。

Remcos所在目录：C:\Users\Administrator\AppData\Roaming\remcos，屏幕截图位置：

C:\Users\Administrator\AppData\Roaming\Screenshots

Remcos注册表信息：HKEY_CURRENT_USER\Software\Remcos-E3FE27

get.ps1脚本执行完上述功能后，自身也会陷入循环，接受远程命令，所以本次实际上投放了两个远控。

get.ps1远控协议：

三、安全建议

CVE-2017-11882公式编辑器漏洞修复已近三年，攻击者至今仍痴迷于使用该漏洞进行攻击，原因在于，网民对Office漏洞的修复意愿不强烈，部分使用盗版Office的更是为了避免激活问题而拒绝安装补丁，从而给木马入侵以可趁之机。腾讯安全专家建议企业参考以下方案加强防御，避免遭遇Remcos远控木马的攻击：

1.推荐企业根据业务节点拦截位置部署适当的安全产品提升企业网络的安全能力。 

腾讯安全解决方案部署示意图（图片可放大）

推荐企业网管根据腾讯安全威胁情报中心提供的情报数据配置各节点联防联动、统一协调管理，可参考下表配置：

Remcos远控木马的手动检查方法：

a. 该木马会在%appdata%/ Roaming目录下创建名为remcos的隐藏文件夹

b. 木马自启动项

C:\Users\$UserName$\AppData\Roaming\Microsoft\Internet Explorer\QuickLaunch\UserPinned\SyncAppvPublishingServer.vbs

C:\Users\$UserName$\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ SyncAppvPublishingServer.vbs

c. 木马的注册表位置HKEY_CURRENT_USER\Software\Remcos

d. 根据下文的C2信息检测909，7070端口的网络连接情况或禁用此端口

IOCs

MD5

502e47bcaa5df51ff25a760967d3b64d

20c4b8437a21aae7a740110a1c45e4f6

99894d645e482dea55ebf21a683c5edf

4a918d54261012813960da09c6ede7eb

1486efdcc39f2715578c7b096f1beca1

ad9eb0df797ef0b04132fc62b5733b17

444af85ae5787f585cb2b554d86dbfee

URL

hxxp://www.m9c.net/uploads/15863019001.jpg

hxxp://www.m9c.net/uploads/15856021931.jpg

hxxp://www.m9c.net/uploads/15862993101.jpg

hxxp://www.m9c.net/uploads/15863025221.jpg

hxxp://www.m9c.net/uploads/15856806541.jpg

hxxp://www.m9c.net/uploads/15855957751.jpg

hxxp://www.m9c.net/uploads/15856806101.jpg

hxxp://162.218.115.147:7070/get

hxxp://162.218.115.147:1216/AvUe

hxxp://162.218.115.147:7070/info/NGOAH-img.jpeg

C2：

162.218.115[.]147:7070

185.140.53[.]6:909

参考链接

https://www.freebuf.com/column/165081.html

https://www.freebuf.com/articles/system/214547.html