Remcos RAT流量分析报告

使用方法

---

1.运行根目录下的exe文件，在Agent Builder页面设置连接ip、端口、密码，生成exe木马，默认端口为2404

2.在Local Settings页面设置监听端口和密码

3.等待靶机运行木马即可上线

检测方案

---

1.可检测从2404端口传递的心跳包，时间间隔为1s，且心跳包的协议为TCP和104apci交替出现

2.检测端数据包占比，数据包长度为40-159的占比为98.93%

3.当远控工具产生交互行为时，上行流量大于下行流量
上行流量数据包统计：

下行流量数据包统计：

4.所有数据包都带有PSH和SYN字段
PSH标志位数据包总数为1583、占100%

SYN标志位数据包总数为1583，占100%

5.监控特殊协议104apci，占比为51.86%

6.监控固定字节为
当它发送文件和信息时，会发送[DataStart]字符串，且为16进制表示

然后加密程序加密，加密程序如下所示

加密后的数据

与流量里的数据相同