-Remcos-RAT-Fileless-svchost-Injection-Obfuscated-Payload-Analysis-

1. Remcos – svchost-Injektion mittels nativer API-Aufrufe

Der folgende Binary Ninja-Ausschnitt zeigt den zentralen Injektionsmechanismus, den Remcos nutzt, um seine Nutzlast in svchost.exe zu injizieren.

Was dieser Code tut:

• CreateProcessW mit dem Flag CREATE_SUSPENDED startet einen neuen svchost-Prozess in einem angehaltenen Zustand.
• VirtualAlloc reserviert Speicher im Zielprozess unter Verwendung der Flags MEM_COMMIT und PAGE_READWRITE, sodass die Nutzlast direkt in den Prozessspeicher geschrieben werden kann.
• WriteProcessMemory schreibt die Nutzlast in den reservierten Speicherbereich des angehaltenen svchost-Prozesses.
• ReadProcessMemory liest den Speicher des Zielprozesses, vermutlich um den ursprünglichen Einstiegspunkt abzurufen oder die Injektion zu validieren.
• TerminateProcess wird verwendet, um den angehaltenen svchost-Prozess zu beenden, falls die Injektion fehlschlägt, um zu verhindern, dass er in einem instabilen Zustand zurückbleibt.

Warum dies wichtig ist:

Visuelle Referenz:

Binary Ninja-Ansicht der Remcos-Injektionsroutine unter Verwendung nativer APIs, mit MEM_COMMIT, PAGE_READWRITE, ReadProcessMemory und TerminateProcess.

2. Registry-Persistenz – Remcos-Persistenzmechanismus

Remcos fügt einen Schlüssel zur Windows-Registrierung hinzu, um eine dauerhafte Präsenz auf dem System aufzubauen. Dieser Schlüssel stellt sicher, dass die Schadsoftware bei jedem Systemstart erneut ausgeführt wird.

Erkannter Registrierungsschlüssel:

HKEY_USERS\S-1-5-21-3807688912-2840792520-522192237-1001\Software\kamolprf-CFKPWC

Werte innerhalb des Schlüssels:

Warum ist dies wichtig?

• Persistenz: Dank dieses Schlüssels startet Remcos automatisch bei jedem Systemstart.
• Tarnung: Da der exepath-Wert als REG_BINARY gespeichert ist, kann er nicht direkt gelesen werden. Dies erschwert die Erkennung.
• Identität: Die UID- und licence-Werte erlauben es dem Angreifer, das Opfer zu identifizieren und eine Lizenzprüfung durchzuführen.
• Zeitstempel: Der time-Wert gibt Aufschluss darüber, wann die Schadsoftware installiert oder zuletzt ausgeführt wurde.

Visuelle Referenz:

Registrierungsschlüssel und die darin enthaltenen Werte exepath, licence, time und UID.

3. Svchost – Trampoline & API-Hook-Erkennung (WinDbg)

Der folgende WinDbg-Ausschnitt zeigt eine Trampolin-Funktion innerhalb des injizierten svchost.exe-Prozesses. Dieser Code scheint Teil des API-Hooking- oder Nutzlast-Ausführungsmechanismus von Remcos zu sein.

Was dieser Code tut:

• jmp qword ptr [svchost+0x9758] – Wahrscheinlich ein Hook oder Trampolin, das zu einer API oder Funktion springt.
• mov / movdqa-Anweisungen – Sichern und Wiederherstellen von Registern (xmm0-xmm3, rcx, rdx, r8, r9), um den Aufrufkontext zu bewahren.
• call svchost+0x3e50 – Ruft eine Kernfunktion auf, möglicherweise Teil der Nutzlast oder des Hook-Handlers.
• jmp rax – Endgültiger Sprung zur ursprünglichen Funktion oder zur nächsten Stufe.
• INT3-Fallen – Anti-Debugging-Anweisungen, um die Ausführung zu unterbrechen, falls ein Debugger angehängt ist.

Warum dies wichtig ist:

Diese Struktur ist typisch für API-Hooking oder Detour-Funktionen, bei denen Remcos Aufrufe kritischer Windows-APIs abfängt. Die Verwendung von xmm-Registern (für Gleitkomma- oder SIMD-Operationen) deutet darauf hin, dass dieser Hook möglicherweise auf Funktionen platziert ist, die SSE-Anweisungen verwenden.

Visuelle Referenz:

WinDbg-Ansicht der Trampolin-Funktion innerhalb von svchost.exe mit jmp- und call-Anweisungen sowie INT3-Fallen.

4. Svchost – Verschleierter Hex-Nutzlast (Binary Ninja)

Der folgende Hex-Dump wurde aus einem PAGE_READWRITE-Speicherbereich innerhalb des injizierten svchost.exe-Prozesses extrahiert. Dieser Bereich enthält keine direkten call- oder jmp-Anweisungen, was bestätigt, dass es sich nicht um ausführbaren Code handelt, sondern um eine verschleierte oder verschlüsselte Nutzlast.

Wichtige Beobachtungen:

• Der Hex-Block besteht aus scheinbar zufälligen Bytes ohne erkennbare Disassemblierungsstruktur.
• Trotz der Verschleierung sind erkennbare Zeichenfolgen wie RPC Control und PC- in den Daten eingebettet.
• Zusätzliche Fragmente wie ctk, m und mafasakaaam scheinen Teil einer strukturierten Konfiguration zu sein, die möglicherweise Verschlüsselungsschlüssel, API-Namen oder Registrierungspfade enthält.
• Das Vorhandensein dieser Zeichenfolgen stimmt mit bekannten Remcos-Verschleierungsmustern überein, bei denen Konfigurationsdaten XOR-verschlüsselt und im Speicher eingebettet werden.

Visuelle Referenz:

Binary Ninja-Ansicht des verschleierten Hex-Dumps aus dem PAGE_READWRITE-Bereich von svchost.exe mit eingebetteten Zeichenfolgen wie RPC Control und PC-.

5. Svchost – Verschleierte Hex-Nutzlast (Binary Ninja Zeichenfolgenansicht)

Die verschleierte Hex-Nutzlast, die aus dem PAGE_READWRITE-Bereich extrahiert wurde, wurde weiter mit der Zeichenfolgenansicht von Binary Ninja analysiert. Trotz der starken Verschleierung tauchten mehrere lesbare Zeichenfolgen und Muster auf.

Wichtige Beobachtungen:

• PC--präfixierte Zeichenfolgen (z. B. PC-475ce3d749612b, PC-4a757962f31b84) – Wahrscheinlich MachineGuid oder eindeutige Systemkennungen zur Opferverfolgung.
• svchost.exe – Der Name des Zielprozesses, der den Injektionsvektor bestätigt.
• .dll-Erweiterungen – Deuten darauf hin, dass Remcos entweder bestimmte DLLs lädt oder danach sucht, möglicherweise für API-Hooking oder Persistenz.
• ontroll\ – Wahrscheinlich ein Fragment eines Registrierungspfads (Control\), was auf Persistenz oder Konfigurationsspeicherung hinweist.
• EEF931 und 1AA81C6FD0CF04A816B – Diese scheinen GUIDs oder Verschlüsselungsschlüssel zu sein, die möglicherweise zur XOR/AES-Entschlüsselung der Nutzlast verwendet werden.
• TEMP – Deutet auf die Erstellung temporärer Dateien oder die Ausführung aus dem Temp-Verzeichnis hin.

Visuelle Referenz:

Binary Ninja-Zeichenfolgenansicht der verschleierten Hex-Nutzlast mit lesbaren Fragmenten wie PC-, svchost.exe, .dll und EEF931.

Fazit

Diese Analyse hat eine hochgradig ausgeklügelte, dateilose Variante von Remcos RAT aufgedeckt, die mit minimaler Festplattennutzung und fortschrittlichen Umgehungstechniken arbeitet. Die Schadsoftware injiziert ihre Kernnutzlast mithilfe nativer API-Aufrufe wie ZwCreateSection und ZwMapViewOfSection in svchost.exe, was Persistenz und Tarnung gewährleistet.

Wichtige Erkenntnisse:

• Dateilose Ausführung: Remcos läuft vollständig im Speicher und hinterlässt keine ausführbare Datei auf der Festplatte.
• Svchost-Injektion: Die Nutzlast wird in einen vertrauenswürdigen Windows-Prozess injiziert, was die Erkennung erschwert.
• Verschleierte Nutzlast: Der injizierte Code ist stark verschleiert, was eine statische Analyse verhindert und nur fragmentierte Zeichenfolgen wie PC-, svchost.exe, .dll und EEF931 preisgibt.
• Registry-Persistenz: Remcos hält seine Persistenz über Registrierungsschlüssel unter HKEY_USERS\...\Software\kamolprf-CFKPWC aufrecht, die verschlüsselte exepath-, licence-, time- und UID-Werte speichern.
• API-Hooking & Trampolines: Die Schadsoftware hooked kritische Windows-APIs und fängt Funktionsaufrufe ab, um den Ausführungsfluss umzuleiten.
• Zusätzliche Fähigkeiten: Es wurden auch Überwachung der Zwischenablage, UAC-Umgehung und potenzielles Abgreifen von Anmeldedaten beobachtet.

Erkennungsempfehlungen:

• Überwachen Sie svchost.exe auf abnormale Speicherbereiche (PAGE_READWRITE).
• Verfolgen Sie Registrierungsschlüssel unter Software\kamolprf-CFKPWC.
• Achten Sie auf ZwCreateSection- und ZwMapViewOfSection-Aufrufe, die von Nicht-Systemprozessen ausgehen.
• Analysieren Sie den Prozessspeicher auf verschleierte Zeichenfolgen wie PC- und EEF931.

Abschließende Gedanken

Diese Remcos-Variante zeigt ein hohes Maß an Professionalität und wurde eindeutig entwickelt, um traditionelle Sicherheitslösungen zu umgehen. Ihre Kombination aus dateiloser Ausführung, Prozessinjektion und registrierungsbasierter Persistenz macht sie zu einer erheblichen Bedrohung, die fortschrittliche Erkennungsstrategien erfordert.

Verwendete Tools: Ghidra, Binary Ninja, WinDbg, Process Hacker

Beispielinformationen

Beispiel herunterladen

Das analysierte Remcos RAT-Beispiel ist auf MalwareBazaar für diejenigen verfügbar, die eine eigene Analyse durchführen möchten:

🔗 Remcos RAT-Beispiel auf MalwareBazaar