Malware Raspberry Robin
Uma ameaça recentemente detalhada está à solta desde o final de 2021. O malware tem recursos semelhantes a worms e é chamado de Raspberry Robin.
O Raspberry Robin é classificado como malware wormable. Uma ameaça wormable tem recursos que permitem que ela se espalhe sem controle e intervenção humanos diretos.
A ameaça foi examinada e analisada por pesquisadores da empresa de segurança Red Canary Intelligence. O Raspberry Robin foi detectado pela primeira vez no outono de 2021. O malware usa unidades de memória flash USB para espalhar e infectar máquinas baseadas em Windows. O Raspberry Robin usa arquivos .msi do Microsoft Standard Installer e outros processos válidos e legítimos para soltar arquivos maliciosos no sistema de destino.
Uma vez implantado no sistema da vítima, o Raspberry Robin usa o comando msiexec para se conectar à sua infraestrutura, enviando o dispositivo da vítima e o nome de usuário. O malware semelhante a um worm também instala uma DLL maliciosa no sistema comprometido.
Ainda existem algumas perguntas sem resposta em torno do Raspberry Robin. Os pesquisadores não têm certeza de como exatamente o worm se propaga nas unidades flash que ele usa como transportadores e se isso acontece offline. O propósito do arquivo DLL malicioso descartado também não é certo, embora os pesquisadores suspeitem que ele seja usado para estabelecer persistência na máquina host.
O objetivo final do agente da ameaça que executa a infraestrutura do Raspberry Robin também não é claro, pois os pesquisadores não conseguiram examinar e monitorar a atividade do malware em estágios posteriores de sua atividade.
O worm planta um atalho .lnk na unidade flash infectada, que é feita para parecer uma pasta normal. O Raspberry Robin usou a ferramenta de linha de comando do Windows cmd.exe para executar um arquivo armazenado na unidade flash USB. Outra característica do malware é o uso de letras maiúsculas e minúsculas misturadas na ortografia de seus comandos, possivelmente como mais uma tentativa de evitar a detecção automatizada.
O malware usa msiexec e rundll32 para executar comandos maliciosos. Eles são usados para iniciar e configurar o arquivo DLL malicioso descrito acima.
