Remcos RAT流量分析报告

使用方法


1.运行根目录下的exe文件,在Agent Builder页面设置连接ip、端口、密码,生成exe木马,默认端口为2404
Remcos RAT流量分析报告_第1张图片
2.在Local Settings页面设置监听端口和密码
Remcos RAT流量分析报告_第2张图片
3.等待靶机运行木马即可上线
Remcos RAT流量分析报告_第3张图片

检测方案


1.可检测从2404端口传递的心跳包,时间间隔为1s,且心跳包的协议为TCP和104apci交替出现
Remcos RAT流量分析报告_第4张图片
2.检测端数据包占比,数据包长度为40-159的占比为98.93%
Remcos RAT流量分析报告_第5张图片
3.当远控工具产生交互行为时,上行流量大于下行流量
上行流量数据包统计:
Remcos RAT流量分析报告_第6张图片
下行流量数据包统计:
Remcos RAT流量分析报告_第7张图片
4.所有数据包都带有PSH和SYN字段
PSH标志位数据包总数为1583、占100%
Remcos RAT流量分析报告_第8张图片
SYN标志位数据包总数为1583,占100%
Remcos RAT流量分析报告_第9张图片
5.监控特殊协议104apci,占比为51.86%
Remcos RAT流量分析报告_第10张图片
6.监控固定字节为
当它发送文件和信息时,会发送[DataStart]字符串,且为16进制表示
Remcos RAT流量分析报告_第11张图片
然后加密程序加密,加密程序如下所示
Remcos RAT流量分析报告_第12张图片
加密后的数据
Remcos RAT流量分析报告_第13张图片
与流量里的数据相同
Remcos RAT流量分析报告_第14张图片

你可能感兴趣的:(Remcos RAT流量分析报告)