Programa malicioso de frambuesa Robin
Una amenaza recientemente detallada ha estado disponible desde fines de 2021. El malware tiene capacidades similares a las de los gusanos y se llama Raspberry Robin.
Raspberry Robin está clasificado como software malicioso que funciona con gusanos. Una amenaza gusano tiene capacidades que le permiten propagarse sin intervención ni control humano directo.
La amenaza fue examinada y analizada por investigadores de la firma de seguridad Red Canary Intelligence. Raspberry Robin se detectó por primera vez en otoño de 2021. El malware utiliza unidades de memoria flash USB para propagarse e infectar máquinas basadas en Windows. Raspberry Robin utiliza archivos .msi del instalador estándar de Microsoft y otros procesos válidos y legítimos para colocar archivos maliciosos en el sistema de destino.
Una vez implementado en el sistema de la víctima, Raspberry Robin utiliza el comando msiexec para conectarse a su infraestructura y envía el dispositivo de la víctima y el nombre de usuario. El malware similar a un gusano también instala una DLL maliciosa en el sistema comprometido.
Todavía hay algunas preguntas sin respuesta en torno a Raspberry Robin. Los investigadores no están seguros de cómo se propaga exactamente el gusano en las unidades flash que utiliza como portadores y si esto sucede fuera de línea. El propósito del archivo DLL malicioso caído tampoco es seguro, aunque los investigadores sospechan que se usa para establecer la persistencia en la máquina host.
El objetivo final del actor de amenazas que ejecuta la infraestructura de Raspberry Robin tampoco está claro, ya que los investigadores no han podido examinar ni monitorear la actividad del malware en etapas posteriores de su actividad.
El gusano instala un acceso directo .lnk en la unidad flash infectada, que parece una carpeta normal. Raspberry Robin utilizó la herramienta de línea de comandos de Windows cmd.exe para ejecutar un archivo almacenado en la unidad flash USB. Otro rasgo característico del malware es el uso de letras mayúsculas y minúsculas mixtas en la ortografía de sus comandos, posiblemente como un intento más de esquivar la detección automática.
El malware usa msiexec y rundll32 para ejecutar comandos maliciosos. Se utilizan para iniciar y luego configurar el archivo DLL malicioso descrito anteriormente.
