Backdoor.MSIL.REMCOS.AOJ

它以电子邮件消息附件的形式出现，而此垃圾邮件由其他恶意软件/灰色软件/间谍软件或恶意用户发送。 它以其他恶意软件释放的文件或用户访问恶意网站时不知不觉下载的文件的形式到达系统。

它执行远程恶意用户的命令，有效地攻击受感染的系统。

新病毒详细信息

它以电子邮件消息附件的形式出现，而此垃圾邮件由其他恶意软件/灰色软件/间谍软件或恶意用户发送。

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安装

它在受感染的系统中植入下列自身副本：

• %User Profile%\OEM\systeminfo.exe

(注意: %User Profile% 是当前用户的概要文件文件夹，通常位于 C:\Windows\Profiles\{user name} (Windows 98 和 ME)、C:\WINNT\Profiles\{user name} (Windows NT)、C:\Documents and Settings\{user name} (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name} (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它植入下列文件：

• %Application Data%\remcos\logs.dat -> record of user's activities/keylogs

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列进程：

• {malware path and file name}
• %Program Files%\Internet Explorer\iexplore.exe

(注意: %Program Files% 是缺省的 Program Files 文件夹，通常位于 C:\Program Files。)

它创建下列文件夹：

• %Application Data%\remcos
• %User Profile%\OEM

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT)、C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name}\AppData\Roaming (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。. %User Profile% 是当前用户的概要文件文件夹，通常位于 C:\Windows\Profiles\{user name} (Windows 98 和 ME)、C:\WINNT\Profiles\{user name} (Windows NT)、C:\Documents and Settings\{user name} (Windows 2000(32-bit)、XP 和 Server 2003(32-bit)) 和 C:\Users\{user name} (Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit) 和 10(64-bit))。)

它添加下列互斥条目，确保一次只会运行一个副本：

• Remcos_Mutex_Inj
• Remcos-{random}

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\OEM\systeminfo.exe"

其他系统修改

它添加下列注册表项：

HKEY_CURRENT_USER\Software\remcos_{Random}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

后门例程

它执行远程恶意用户的下列命令：

• Activate keylogger
• Capture audio, or stop capture
• Capture screen
• Change desktop wallpaper
• Change, pause, stop, or start a service
• Clear browser hisotry
• Close a window
• Close affected system's camera
• Close connection
• Connect to a specified server
• Control affected system's camera
• Deactive keylogger
• Delete registry key/entry
• Enumerate registry key/entry
• Modify/add registry entry
• Delete file or directory
• Download a file
• Read a file
• Save a file
• Upload a file
• Empty clipboard data
• Execute a command
• Get active program's window title
• Get clipboard data
• Get process ID of a window
• Get system information
• Hide or show a window
• List files in specified directory
• List installed applications
• List keyboard information
• List running processes
• List windows
• Log off, restart, or shut down the affected system
• Modify a window
• Play an audio in the affected system
• Restart itself
• Show message box
• Terminate a process
• Terminate itself
• Uninstall itself
• Update itself

其他详细信息

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\Remcos-{random}

该程序执行以下操作：

• This Backdoor gathers the following information and reports it to its servers:
  • Computer Name
  • Operating System Version
  • Product Name
  • Primary Adapter
  • User Access (Admin or Non-admin)
  • User Profile
  • User Name
  • User Domain
  • Processor Revision No.
  • Processor Level
  • Processor Identifier
  • Processor Architecture
  • System Type (32-bit or 64-bit)