ZDU Intel · Ficha de armamento · Troyano de acceso remoto

Remcos

También conocido como RemcosRAT, Remvio, Socmer

Plataforma: Windows

MITRE ATT&CK S0332 Malpedia38 técnicas4 grupos

139indicadores nuevos en 7 días

295en 30 días

230servidores de C2 en 30 días

0ligados a México en 30 días

Indicadores nuevos por día · últimos 14 días

Qué es

Remcos es una herramienta de código cerrado comercializada por Breaking Security como software de control remoto y vigilancia. Los atacantes la utilizan para controlar computadoras de forma remota y llevar a cabo campañas de malware.

Qué hace una vez dentro

Una vez instalado, abre una puerta trasera en la computadora. Esto otorga acceso completo al usuario remoto para controlar el equipo.

A quién ataca

Ataca plataformas Windows.

Técnicas de MITRE ATT&CK

Táctica	Técnica	ID
Acceso inicial	Spearphishing Attachment	T1566.001
Ejecución	Windows Command Shell	T1059.003
Ejecución	Visual Basic	T1059.005
Ejecución	Python	T1059.006
Ejecución	JavaScript	T1059.007
Ejecución	Malicious File	T1204.002
Persistencia	Windows Service	T1543.003
Persistencia	Registry Run Keys / Startup Folder	T1547.001
Escalada de privilegios	Bypass User Account Control	T1548.002
Sigilo	Obfuscated Files or Information	T1027
Sigilo	Encrypted/Encoded File	T1027.013
Sigilo	Process Injection	T1055
Sigilo	Indicator Removal	T1070
Sigilo	File Deletion	T1070.004
Sigilo	System Checks	T1497.001
Sigilo	Hide Artifacts	T1564
Sigilo	Hidden Window	T1564.003
Debilitamiento de defensas	Modify Registry	T1112
Descubrimiento	Application Window Discovery	T1010
Descubrimiento	Query Registry	T1012
Descubrimiento	System Owner/User Discovery	T1033
Descubrimiento	Process Discovery	T1057
Descubrimiento	System Information Discovery	T1082
Descubrimiento	File and Directory Discovery	T1083
Descubrimiento	System Location Discovery	T1614
Recolección	Keylogging	T1056.001
Recolección	Screen Capture	T1113
Recolección	Clipboard Data	T1115
Recolección	Audio Capture	T1123
Recolección	Video Capture	T1125
Recolección	Archive via Utility	T1560.001
Comando y control	Proxy	T1090
Comando y control	Ingress Tool Transfer	T1105
Comando y control	Standard Encoding	T1132.001
Comando y control	Dynamic Resolution	T1568
Comando y control	Asymmetric Cryptography	T1573.002
Impacto	Internal Defacement	T1491.001
Impacto	System Shutdown/Reboot	T1529

Fuente: MITRE ATT&CK v20 (S0332).

Grupos que la usan

Gamaredon Group Gorgon Group APT-C-36 LazyScripter

Uso documentado por MITRE ATT&CK, o por Malpedia confirmado con AlienVault OTX. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.

Actividad en feeds públicos

Tipo de indicador	Nuevos en 30 días
Servidores de comando y control (IP:puerto)	230
Dominios	57
URLs	0
Hashes de archivos	8

En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.

Fuentes

← Todo el catálogo de armamento

Inteligencia de Amenazas QMA · Ficha generada a partir de fuentes públicas verificadas (MITRE ATT&CK v20, Malpedia, AlienVault OTX, ThreatFox y URLhaus de abuse.ch), redactada con asistencia de IA y revisada por QMA. Los conteos se actualizan a diario; corte: 21-oct-2026. Los indicadores de entrega pueden ser sitios legítimos comprometidos, por eso aquí solo se cuentan. Mira la infraestructura en el mapa de la War Room de ZDU.