Remcos RAT v7.1.0 - TLS13 C2 Port 20343, UAC Bypass, Keylogger + Browser Stealer | Kritik

Manuel Statik Analiz (LLM Okumali) — Remcos RAT v7.1.0 | Tehdit: CRITICAL

Fichier Kimligi

SHA256	`40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1`
Orijinal Ad	07_remcos_agent_7.1.0.bin
Taille	514.188 byte (~502 KB)
PE Tipi	PE32 (x86 GUI) — C++ ile yazilmis yerel Windows uygulamasi
MD5	496caac1fa6369e93cb48970f72e26da
Versiyon	Remcos v7.1.0
Yazar	BreakingSecurity.net
Sections	6 (.text, .rdata, .data, .rsrc, .reloc, + TLS)
Entropi	6.60 (normal)

C2 Altyapisi

C2 Port: 20343 — SETTINGS binary blobunda tespit edildi (cleartext port degeri). C2 host adresi ayni binary blob icerisinde sifrelenmis durumda; statik analizle elde edilemedi.

C2 Port	20343 (SETTINGS kaynagindan — yuksek guven)
C2 Host	Sifrelenmis (SETTINGS XOR/encoded blob)
Protokol	TLS 1.3 — TLS13-AES128-GCM-SHA256 sifre paketi
Sertifika	Gomulmus RSA/EC/DSA ozel anahtarlar + PEM sertifika
KeepAlive	Etkin — yapilandirilabilir zaman asimi

Kurulum ve Kalicilik

Dropped File	`rmclient.exe` (Remcos agent dosyasi)
Registry Run	`HKCU\Software\Microsoft\Windows\CurrentVersion\Run`
Watchdog	Ajan sonlandirilirsa otomatik yeniden baslatma
UAC Bypass	`reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0`

Teknik Yetenekler

1. Keylogger (Gelismis)

Online modu: Gercesk zamanli tus kaydi C2'ye aktariliyor
Offline modu: Baglanti kesildiginde yerel dosyada saklanir, sonra gonderilir
Capturess: [F1]-[F12], [Ctrl+V], [AltL/R], pano icerik kopyalari, acik pencere basliklari

2. Fichier Yoneticisi

Fichier indirme / yukleme (C2'ye)
Dizin tarama
Fichier silme / yuklu ZIP/UnZIP destegi
Fichier calistirma

3. Tarayici Sifre/Cerez Hirsizligi

\AppData\Local\Google\Chrome\User Data\Default\Login Data
\AppData\Local\Google\Chrome\User Data\Default\Cookies
\AppData\Roaming\Mozilla\Firefox\Profiles\
Brave Browser destegi
RecoverCookies modulu (CookLib)

4. Uzaktan Erisim ve Kontrol

Ekran goruntuleri
Kamera (OpenCamera/CloseCamera/GetFrame)
Uzak kabuk (cmd.exe)
Proses listeleme / sonlandirma
NtSuspendProcess / NtResumeProcess (anti-analiz)

5. Proses Injection (Process Hollowing)

NtCreateSection, NtMapViewOfSection, NtWriteFile
CreateProcessInternalW ile hollow process olusturma
64-bit destegin 32-bit agent uzerinden etkinlestirilmesi

6. Anti-Analiz

TLS sifreleme ile ag trafikGİ izlemeye karsi koruma
Watchdog ile agent yeniden baslatma
UAC bypass ile yuksek yetki kazanma
Gomulmus ozel anahtarlar ile sahte sertifika tespitini engelleme

IOC'lar

SHA256	`40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1`
MD5	496caac1fa6369e93cb48970f72e26da
C2 Port	20343 (TCP/TLS)
Dropped File	rmclient.exe
Registry	HKCU\Software\Microsoft\Windows\CurrentVersion\Run
TLS Cipher	TLS13-AES128-GCM-SHA256

Nasil Kaldiriliir?

Process sonlandirma: Gorev Yoneticisinde rmclient.exe ve svchost.exe icin Remcos baglantisi arayin
Registry temizligi: HKCU\Software\Microsoft\Windows\CurrentVersion\Run altinda suphelik giris silin
Fichier silme: AppData, Temp ve System32 altindaki rmclient.exe dosyasini silin
Ag engeli: Port 20343 TCP giden baglantilari guvvenlik duvari kurallarindan kapatin
AV tarama: Guncel imzalarla tam sistem taramasi yapin

Teknik Ozet

Remcos RAT v7.1.0, C++ ile gelistirilmis, ticari olarak satilan ancak yayginca kotu amacli kullanilan bir Uzak Erisim Trojan'idir (BreakingSecurity.net). Bu ornek, TLS 1.3 ile sifrelenmis C2 iletisimi (port 20343), kapsamli keylogger, tarayici sifre/cerez hirsizligi, webcam erisimi, proses injection (process hollowing), UAC bypass ve watchdog kalicilik mekanizmasini icerir. C2 host adresi SETTINGS kaynaginda XOR/kodlanmis durumda olup sandbox analizi gerekmektedir. Dropped agent dosyasi rmclient.exe olarak kaydedilmektedir.

Remcos — Profil du malware

RemcosRAT. SCAN DOC LOI.r00 multipart RAR. French LOI law lure. Five c2 substrings. Breaking-Security developer.

Type de malware

RAT

Langage de programmation

C++

Protocole C2

TCP/SSL

Systèmes ciblés

Windows

Aussi connu sous (AKA)

RemcosRAT

Capacités et comportement

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Liste IOC (5 indicateurs)

IOC — Remcos

# 
20343

# SHA256
40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1

# MD5
496caac1fa6369e93cb48970f72e26da

# REGISTRY
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

# FILEPATH
rmclient.exe

Type	Valeur	Note
	20343
sha256	40079f05ba7cdccac1f62f8e7e1b644bc0a806b58465f5c005725bc54ee73ef1
md5	496caac1fa6369e93cb48970f72e26da
registry	HKCU\Software\Microsoft\Windows\CurrentVersion\Run
filepath	rmclient.exe

Remcos — Voir le profil complet →

Serveurs C2 (3 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
BreakingSecurity.net	domain	—	HTTP	active	—
pro.ip-api.com	domain	—	HTTP	active	—
UNKNOWN_HOST	unknown	20343	TCP	inactive	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.