Raspberry Robin Malware
En nylig detaljert trussel har vært ute i naturen siden slutten av 2021. Skadevaren har ormelignende egenskaper og kalles Raspberry Robin.
Raspberry Robin er klassifisert som ormelig skadelig programvare. En ormbar trussel har evner som lar den spre seg uten direkte menneskelig kontroll og intervensjon.
Trusselen ble undersøkt og analysert av forskere med sikkerhetsfirmaet Red Canary Intelligence. Raspberry Robin ble først oppdaget høsten 2021. Skadevaren bruker USB-minnestasjoner for å spre og infisere Windows-baserte maskiner. Raspberry Robin bruker Microsoft Standard Installer .msi-filer og andre gyldige og legitime prosesser for å slippe skadelige filer til målsystemet.
Når den er distribuert på offersystemet, bruker Raspberry Robin msiexec-kommandoen for å koble til infrastrukturen, og sender ut offerenheten og brukernavnet. Den ormlignende skadelige programvaren installerer også en ondsinnet DLL på det kompromitterte systemet.
Det er fortsatt noen ubesvarte spørsmål rundt Raspberry Robin. Forskere er ikke sikre på nøyaktig hvordan ormen forplanter seg inn i flash-stasjonene den bruker som bærere og om dette skjer offline. Hensikten med den droppede ondsinnede DLL-filen er heller ikke sikker, selv om forskere mistenker at den brukes til å etablere persistens på vertsmaskinen.
Sluttmålet til trusselaktøren som driver Raspberry Robins infrastruktur er heller ikke klart, ettersom forskere ikke har vært i stand til å undersøke og overvåke skadevarens aktivitet på senere stadier av aktiviteten.
Ormen planter en .lnk-snarvei på den infiserte flash-stasjonen, som er laget for å se ut som en vanlig mappe. Raspberry Robin brukte Windows-kommandolinjeverktøyet cmd.exe til å kjøre en fil som er lagret på USB-flashstasjonen. Et annet karakteristisk trekk ved skadevaren er bruken av blandede store og små bokstaver i stavemåten til kommandoene, muligens som et ytterligere forsøk på å unngå automatisert gjenkjenning.
Skadevaren bruker msiexec og rundll32 for å utføre ondsinnede kommandoer. De brukes til å starte og deretter konfigurere den ondsinnede DLL-filen beskrevet ovenfor.
