Raspberry Robin-Malware

Seit Ende 2021 ist eine neu detaillierte Bedrohung in freier Wildbahn unterwegs. Die Malware verfügt über wurmähnliche Fähigkeiten und heißt Raspberry Robin.

Raspberry Robin wird als wurmfähige Malware eingestuft. Eine wurmfähige Bedrohung verfügt über Fähigkeiten, die es ihr ermöglichen, sich ohne direkte menschliche Kontrolle und Intervention zu verbreiten.

Die Bedrohung wurde von Forschern der Sicherheitsfirma Red Canary Intelligence untersucht und analysiert. Raspberry Robin wurde erstmals im Herbst 2021 entdeckt. Die Malware verwendet USB-Flash-Speicherlaufwerke, um Windows-basierte Computer zu verbreiten und zu infizieren. Raspberry Robin verwendet Microsoft Standard Installer .msi-Dateien und andere gültige und legitime Prozesse, um bösartige Dateien auf dem Zielsystem abzulegen.

Nach der Bereitstellung auf dem Opfersystem verwendet Raspberry Robin den Befehl msiexec, um eine Verbindung zu seiner Infrastruktur herzustellen, und sendet das Opfergerät und den Benutzernamen. Die wurmartige Malware installiert auch eine bösartige DLL auf dem kompromittierten System.

Es gibt noch einige unbeantwortete Fragen rund um Raspberry Robin. Die Forscher sind sich nicht sicher, wie genau sich der Wurm in die Flash-Laufwerke ausbreitet, die er als Träger verwendet, und ob dies offline geschieht. Der Zweck der abgelegten bösartigen DLL-Datei ist ebenfalls nicht sicher, obwohl die Forscher vermuten, dass sie zum Aufbau der Persistenz auf dem Host-Computer verwendet wird.

Das Endziel des Bedrohungsakteurs, der die Infrastruktur von Raspberry Robin betreibt, ist ebenfalls nicht klar, da die Forscher die Aktivitäten der Malware in späteren Phasen ihrer Aktivität nicht untersuchen und überwachen konnten.

Der Wurm platziert eine .lnk-Verknüpfung auf dem infizierten Flash-Laufwerk, die wie ein normaler Ordner aussieht. Raspberry Robin verwendete das Windows-Befehlszeilentool cmd.exe, um eine auf dem USB-Stick gespeicherte Datei auszuführen. Ein weiteres charakteristisches Merkmal der Malware ist die Verwendung von gemischten Groß- und Kleinbuchstaben in der Schreibweise ihrer Befehle, möglicherweise als weiterer Versuch, sich der automatisierten Erkennung zu entziehen.

Die Malware verwendet msiexec und rundll32, um schädliche Befehle auszuführen. Diese werden verwendet, um die oben beschriebene bösartige DLL-Datei zu starten und dann weiter zu konfigurieren.