Framboos Robin Malware
Sinds eind 2021 is er een nieuwe gedetailleerde dreiging in het wild. De malware heeft wormachtige mogelijkheden en wordt Raspberry Robin genoemd.
Raspberry Robin is geclassificeerd als wormbare malware. Een wormbare dreiging heeft mogelijkheden waarmee het zich kan verspreiden zonder directe menselijke controle en tussenkomst.
De dreiging is onderzocht en geanalyseerd door onderzoekers van beveiligingsbedrijf Red Canary Intelligence. Raspberry Robin werd voor het eerst gesignaleerd in het najaar van 2021. De malware gebruikt USB-flashgeheugenstations om Windows-gebaseerde machines te verspreiden en te infecteren. Raspberry Robin gebruikt Microsoft Standard Installer .msi-bestanden en andere geldige en legitieme processen om kwaadaardige bestanden op het doelsysteem te laten vallen.
Eenmaal geïmplementeerd op het slachtoffersysteem, maakt Raspberry Robin gebruik van de msiexec-opdracht om verbinding te maken met zijn infrastructuur, waarbij het slachtofferapparaat en de gebruikersnaam worden verzonden. De wormachtige malware installeert ook een kwaadaardige DLL op het besmette systeem.
Er zijn nog enkele onbeantwoorde vragen rond Raspberry Robin. Onderzoekers weten niet precies hoe de worm zich voortplant in de flashdrives die hij als dragers gebruikt en of dit offline gebeurt. Het doel van het verwijderde kwaadaardige DLL-bestand is ook niet zeker, hoewel onderzoekers vermoeden dat het wordt gebruikt om persistentie op de hostcomputer vast te stellen.
Het einddoel van de dreigingsactor die de infrastructuur van Raspberry Robin beheert, is ook niet duidelijk, omdat onderzoekers de activiteit van de malware in latere stadia van zijn activiteit niet hebben kunnen onderzoeken en monitoren.
De worm plant een .lnk-snelkoppeling op de geïnfecteerde flashdrive, die eruitziet als een normale map. Raspberry Robin gebruikte de Windows-opdrachtregeltool cmd.exe om een bestand uit te voeren dat op de USB-stick is opgeslagen. Een ander kenmerk van de malware is het gebruik van gemengde hoofdletters en kleine letters bij de spelling van de opdrachten, mogelijk als een verdere poging om geautomatiseerde detectie te ontwijken.
De malware gebruikt msiexec en rundll32 om kwaadaardige opdrachten uit te voeren. Die worden gebruikt om het hierboven beschreven kwaadaardige DLL-bestand te starten en vervolgens verder te configureren.
