Σύμφωνα με τους ερευνητές κυβερνοασφάλειας στη Red Canary, ένα νέο κακόβουλο λογισμικό με δυνατότητες worm, εξαπλώνεται χρησιμοποιώντας εξωτερικές μονάδες USB.
Όπως ανακαλύφθηκε, συνδέεται με το κακόβουλο λογισμικό Raspberry Robin και παρατηρήθηκε για πρώτη φορά τον Σεπτέμβριο του 2021.
Η ομάδα Red Canary Detection Engineering εντόπισε το worm σε δίκτυα πολλών πελατών, ορισμένοι στον τομέα της τεχνολογίας και της κατασκευής.
Το Raspberry Robin εξαπλώνεται σε νέα συστήματα Windows, όταν συνδέεται μια μολυσμένη μονάδα USB που περιέχει ένα κακόβουλο αρχείο. Μόλις συνδεθεί, το worm δημιουργεί μια νέα διαδικασία, για την εκκίνηση ενός κακόβουλου αρχείου, που είναι αποθηκευμένο στη μολυσμένη μονάδα δίσκου.
Χρησιμοποιεί το Microsoft Standard Installer για να προσεγγίσει τους διακομιστές Command-and-Control (C2) του, που πιθανότατα φιλοξενούνται σε παραβιασμένες συσκευές QNAP και χρησιμοποιούν κόμβους εξόδου TOR ως πρόσθετη υποδομή C2.
“Ενώ το Microsoft Standard Installer κατεβάζει και εκτελεί νόμιμα πακέτα προγραμμάτων εγκατάστασης, οι hackers το χρησιμοποιούν επίσης για να παρέχουν κακόβουλο λογισμικό“, είπαν οι ερευνητές.
- Δεν έχει βρεθεί ακόμα εάν καθιερώνει επιμονή και μέσω ποιων μεθόδων, πιστεύεται όμως ότι το κακόβουλο λογισμικό εγκαθιστά ένα κακόβουλο αρχείο DLL σε παραβιασμένα μηχανήματα, για να αντισταθεί στην αφαίρεση από επανεκκίνηση.
Το Raspberry Robin λανσάρει αυτό το DLL με τη βοήθεια δύο άλλων νόμιμων βοηθητικών προγραμμάτων των Windows: το fodhelper και το odbcconf.
Το πρώτο του επιτρέπει να παρακάμψει τον Έλεγχο λογαριασμού χρήστη (UAC), ενώ το δεύτερο βοηθά στην εκτέλεση και ρύθμιση του DLL.
Ενώ οι αναλυτές μπόρεσαν να επιθεωρήσουν προσεκτικά τι κάνει το νεοανακαλυφθέν worm σε μολυσμένα συστήματα, εξακολουθούν να υπάρχουν πολλά ερωτήματα που πρέπει να απαντηθούν.
Δεδομένου ότι δεν υπάρχουν πληροφορίες σχετικά με τις κακόβουλες εργασίες τελικού σταδίου αυτού του κακόβουλου λογισμικού, μια άλλη ερώτηση που χρειάζεται απάντηση είναι ποιος είναι ο στόχος των χειριστών του Raspberry Robin. Περισσότερες τεχνικές πληροφορίες για το Raspberry Robin worm, συμπεριλαμβανομένων των δεικτών παραβίασης (IOC) και ενός ATT&CK αυτού του κακόβουλου λογισμικού, μπορείτε να βρείτε στην αναφορά της Red Canary.
