Pesquisadores alertam sobre malware ‘Raspberry Robin’ se espalhando por meio de unidades externas
Pesquisadores de segurança cibernética descobriram um novo malware do Windows com recursos semelhantes a worms e é propagado por meio de dispositivos USB removíveis.
Atribuindo o malware a um cluster chamado ” Raspberry Robin “, os pesquisadores da Red Canary observaram que o worm “alavanca o Windows Installer para alcançar domínios associados à QNAP e baixar uma DLL maliciosa”.
Diz-se que os primeiros sinais da atividade remontam a setembro de 2021, com infecções observadas em organizações ligadas aos setores de tecnologia e manufatura.
As cadeias de ataque pertencentes ao Raspberry Robin começam com a conexão de uma unidade USB infectada a uma máquina Windows. Presente no dispositivo está a carga útil do worm, que aparece como um arquivo de atalho .LNK para uma pasta legítima.
O worm então se encarrega de gerar um novo processo usando cmd.exe para ler e executar um arquivo malicioso armazenado na unidade externa.
Isso é seguido pelo lançamento do explorer.exe e msiexec.exe, o último dos quais é usado para comunicação de rede externa com um domínio não autorizado para fins de comando e controle (C2) e para baixar e instalar um arquivo de biblioteca DLL.
A DLL maliciosa é posteriormente carregada e executada usando uma cadeia de utilitários legítimos do Windows, como fodhelper.exe, rundll32.exe a rundll32.exe e odbcconf.exe, ignorando efetivamente o Controle de Conta de Usuário (UAC).
Também comum nas detecções do Raspberry Robin até agora é a presença de contato C2 de saída envolvendo os processos regsvr32.exe, rundll32.exe e dllhost.exe para endereços IP associados aos nós Tor.
Dito isto, os objetivos dos operadores permanecem sem resposta nesta fase. Também não está claro como e onde as unidades externas estão infectadas, embora se suspeite que seja realizado offline.
“Também não sabemos por que o Raspberry Robin instala uma DLL maliciosa”, informaram os pesquisadores. “Uma hipótese é que pode ser uma tentativa de estabelecer persistência em um sistema infectado.”
Este artigo é uma tradução de: https://thehackernews.com/2022/05/researchers-warn-of-raspberry-robin.html (Autor: )
