请注意！出现了通过钓鱼邮件传播的Remcos RAT远控木马
ASEC分析团队发现了通过钓鱼邮件传播的RAT型木马“Remcos”。如果感染了该木马，攻击者可以远程执行各种恶意行为，例如键盘记录、Web浏览器历史记录和密码提取，用户需提高警惕，多加小心。
Remcos是一种RAT（远程管理工具 ）型的木马， 从数年前开始通过钓鱼邮件不断地进行着传播 。Remcos木马制作者将恶意代码描述为用于远程管理的RAT工具，并通过以下网站进行销售，而且现在仍在定期更新版本。
【图 1】Remcos木马主页
如果仔细查看Remcos主页上描述的功能，您会发现Remcos可用于远程支持目的，或用于在发生盗窃时追踪或删除敏感数据的目的。当然，Remcos确实支持这些功能。
但是，它还具有各种恶意功能，例如键盘记录、捕获屏幕截图、网络摄像头、麦克风控制，以及系统中存在的Web浏览器历史记录和密码提取功能。而且，还有和后台运行选项，它们伪装成正常程序，因此用户无法察觉。 此外，用于控制各种感染BOT程序的UI也与一般的RAT类型的木马相似。
【图 2】Remcos v2.6.0 Light版本
传播方式
目前已确认的大部分Remcos RAT是通过以下的钓鱼邮件进行传播。
【图
3】伪装成亚马逊配送邮件的钓鱼邮件
【图 4】伪装成报价、采购邮件的钓鱼邮件
第一封邮件通过直接附件的形式，如果解压Amazon Detail.img文件，则可发现exe格式的Remcos RAT恶意软件。第二封邮件在附件添加了带有恶意宏病毒的Excel文件。是一种靠运行该Excel文件激活宏病毒后，再从外部下载Remcos RAT并执行的传播方式。
【图 5】诱导激活宏病毒的恶意Excel文件
由于上述钓鱼邮件是用英文编写的，因此尚不清楚是否会直接攻击韩国国内的用户，但以以下的韩文文件名称来看，韩国国内的用户似乎也包含在攻击对象中。
Remcos RAT恶意软件文件名称
\订购单(lkp-2010-024)\po.exe
\订购单(lkp-2020-027)(lkp-2020-027).exe
\邀请材料列表(lkp-2020-027).exe
报价单 – ACE international 2.exe
附件.exe
20co08301 – 附件.exe
Advanced Pacific Trading – purchase order list.exe
DHL-Shipping_Documents0010201.exe
KONTEC QUOTE B1018530.exe
Payment.exe
PDF_Tosoh-Inquiry.exe
PI20200206APO#4567811,zip.exe
PO 456123489.exe
Quotation 52908.exe
SHIPPING-DOCUMENTS-DOC0012HD83-001HDU37.exe
Ton-Keep Co- Purchase Order.exe
这类的文件名类似于通过垃圾邮件传播的其他恶意软件，例如AgentTesla、Formbook和AveMaria。此外，通过.NET行包装器包装以绕过检测的也与其它恶意软件雷同。
传播文件版本
Remcos RAT的制作者在不断地更新功能，当前最新版本v2.7.2更新于2020年10月22日。下面是各版本发布的时间。
v2.5.0 – 2019.09.20
v2.5.1 – 2020.06.05
v2.6.0 – 2020.07.10
v2.7.0 – 2020.08.10
v2.7.1 – 2020.09.14
v2.7.2 – 2020.10.22
如上所述，Remcos RAT为了绕过检测而进行包装后传播，并且可以通过提取内部的二进制代码来确认原始恶意代码。版本信息被硬编码在提取的原始二进制代码中，因此可以获悉恶意代码是利用哪个版本的构建期生成。
ASEC分析团队提取了今年下半年收到的Remcos RAT恶意软件的版本信息，其统计如下：
【表
1】Remcos RAT版本信息
如果查看收到的Remcos RAT的版本，则可以发现版本信息会随着软件的更新而改变。据推测，攻击者利用软件的正式版本进行构建，并且倾向于在每次更新时都保持最新版本
Remcos RAT虽然也有精简版，但通常都使用Pro版。其原因是精简版禁用了可以恶意使用的所有功能，而且不可能在不用户不知情的情况下在后台运行。
此外，1.7 Pro版本一直占据着一定比率的原因是该版本破解版的公开。因此不光有使用最新版本的攻击者，也有使用过去公开的破解版的攻击者。
【文件诊断】
Trojan/Win32.Remcos.C4227198 (2020.11.18.05)
【行为诊断】
Malware/MDP.Behavior.M3108
【IOC】
– 文件 MD5：711fa3db79a40db1b2724b451e805464
– C&C：185.19.85[.]149:6667
