Backdoor.MSIL.REMCOS.AOJ

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

新(xīn)病毒详细信息

它以電(diàn)子邮件消息附件的形式出现，而此垃圾邮件由其他(tā)恶意软件/灰色软件/间谍软件或恶意用(yòng)户发送。

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安(ān)装(zhuāng)

它在受感染的系统中(zhōng)植入下列自身副本：

• %User Profile%\OEM\systeminfo.exe

(注意: %User Profile% 是当前用(yòng)户的概要文(wén)件文(wén)件夹，通常位于 C:\Windows\Profiles\{user name} (Windows 98 和 ME)、C:\WINNT\Profiles\{user name} (Windows NT)、C:\Documents and Settings\{user name} (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name} (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它植入下列文(wén)件：

• %Application Data%\remcos\logs.dat -> record of user's activities/keylogs

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列进程：

• {malware path and file name}
• %Program Files%\Internet Explorer\iexplore.exe

(注意: %Program Files% 是缺省的 Program Files 文(wén)件夹，通常位于 C:\Program Files。)

它创建下列文(wén)件夹：

• %Application Data%\remcos
• %User Profile%\OEM

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。. %User Profile% 是当前用(yòng)户的概要文(wén)件文(wén)件夹，通常位于 C:\Windows\Profiles\{user name} (Windows 98 和 ME)、C:\WINNT\Profiles\{user name} (Windows NT)、C:\Documents and Settings\{user name} (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name} (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• Remcos_Mutex_Inj
• Remcos-{random}

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\OEM\systeminfo.exe"

其他(tā)系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\remcos_{Random}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

后门例程

它执行遠(yuǎn)程恶意用(yòng)户的下列命令：

• Activate keylogger
• Capture audio, or stop capture
• Capture screen
• Change desktop wallpaper
• Change, pause, stop, or start a service
• Clear browser hisotry
• Close a window
• Close affected system's camera
• Close connection
• Connect to a specified server
• Control affected system's camera
• Deactive keylogger
• Delete registry key/entry
• Enumerate registry key/entry
• Modify/add registry entry
• Delete file or directory
• Download a file
• Read a file
• Save a file
• Upload a file
• Empty clipboard data
• Execute a command
• Get active program's window title
• Get clipboard data
• Get process ID of a window
• Get system information
• Hide or show a window
• List files in specified directory
• List installed applications
• List keyboard information
• List running processes
• List windows
• Log off, restart, or shut down the affected system
• Modify a window
• Play an audio in the affected system
• Restart itself
• Show message box
• Terminate a process
• Terminate itself
• Uninstall itself
• Update itself

其他(tā)详细信息

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\Remcos-{random}

该程序执行以下操作(zuò)：

• This Backdoor gathers the following information and reports it to its servers:
  • Computer Name
  • Operating System Version
  • Product Name
  • Primary Adapter
  • User Access (Admin or Non-admin)
  • User Profile
  • User Name
  • User Domain
  • Processor Revision No.
  • Processor Level
  • Processor Identifier
  • Processor Architecture
  • System Type (32-bit or 64-bit)