Raspberry Robin ora diventa una infrastruttura distribuita e offre gli accessi ad altri criminali informatici

Redazione RHC : 8 Novembre 2022 08:00

Raspberry Robin, un worm che si diffondeva attraverso i sistemi Windows tramite una unità USB, si è evoluto rapidamente: ora l’accesso backdoor viene venduto o offerto in modo che il ransomware, possa essere installato dai criminali informatici.

In un rapporto di giovedì, l’unità Security Threat Intelligence di Microsoft ha affermato che Raspberry Robin è ora “parte di un ecosistema di malware complesso e interconnesso” con collegamenti ad altre famiglie di codice dannoso (come ad esempio il ransomware Cl0p) e legami con altri ransomware.

Raspberry Robin è apparso per la prima volta come uno strano worm che si è diffuso da PC a PC senza uno scopo ben preciso. 

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Ora chiunque stia controllando il malware lo sta apparentemente utilizzando per vendere l’accesso alle macchine infette in modo che altri software dannosi possano essere utilizzati dai criminali informatici, come ad esempio il ransomware.

“La catena di infezione di Raspberry Robin ancora risulta confusa e può portare a risultati diversi, anche in scenari in cui due host vengono infettati contemporaneamente”, hanno scritto i ricercatori Microsoft.

“Sono coinvolti numerosi componenti; potrebbe essere difficile poiché gli aggressori dietro la minaccia hanno fatto di tutto per proteggere il malware in ogni fase di infezione con meccanismi di offuscamento”.

Secondo i dati raccolti dallo strumento Defender for Endpoint di Microsoft, quasi 3.000 dispositivi in ​​circa 1.000 organizzazioni hanno ricevuto almeno un avviso relativo a un payload dannoso correlato a Raspberry Robin negli ultimi 30 giorni.

“Raspberry Robin si è evoluto dall’essere un worm ampiamente distribuito senza azioni post-infezione osservate quando Red Canary lo ha segnalato per la prima volta nel maggio 2022, a una delle più grandi piattaforme di distribuzione di malware attualmente attive”, ha riportato Microsoft.

I ricercatori di Red Canary hanno osservato per la prima volta le attività di Raspberry Robin nel settembre 2021. Il malware era un worm generalmente installato tramite un dispositivo USB rimovibile e utilizzava server di archiviazione QNAP compromessi per generare server di comando e controllo (C2) di backend.

Una chiavetta USB infetta da Raspberry Robin contiene un file .lnk che sembra una cartella legittima. L’unità può essere configurata per eseguire automaticamente quel file, che le organizzazioni possono bloccare, oppure l’utente viene indotto a fare doppio clic sul file di collegamento. Quel file .lnk esegue quindi i comandi per recuperare ed eseguire da un server C2 che viene lanciato sul PC della vittima.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli