Una nueva investigaci\u00f3n ha descubierto casi 200 dominios \u00fanicos de comando y control (C2) asociados con un malware llamado Raspberry Robin<\/b>.<\/p>\n
“Raspberry Robin (tambi\u00e9n conocido como Roshtyak o Storm-0856) es un actor de amenaza complejo y en evoluci\u00f3n que brinda servicios de corredor de acceso inicial (IAB) a numerosos grupos criminales, muchos de los cuales tienen conexiones con Rusia”, Silent Push Push dicho<\/a> En un informe compartido con The Hacker News.<\/p>\n Ya que es aparici\u00f3n<\/a> en 2019, el malware<\/a> se ha convertido en un conducto para varias cepas maliciosas como Socgholish, Didex, Lockbit, IceDid, Bumblebee y TrueBot. Tambi\u00e9n se conoce como un gusano QNAP debido al uso de dispositivos QNAP comprometidos para recuperar la carga \u00fatil.<\/p>\n A lo largo de los a\u00f1os, las cadenas de ataque de Raspberry Robin han agregado un nuevo m\u00e9todo de distribuci\u00f3n que implica descargarlo a trav\u00e9s de archivos y archivos de scripts de Windows enviados como archivos adjuntos utilizando el servicio de mensajer\u00eda Discord, sin mencionar la adquisici\u00f3n de exploits de un d\u00eda para lograr una escalada de privilegios locales antes de que se revelen p\u00fablicamente.<\/p>\n Tambi\u00e9n hay alguna evidencia que sugiere que el malware se ofrece a otros actores como una botnet de pago por instalaci\u00f3n (PPI) para entregar malware en la pr\u00f3xima etapa.<\/p>\n Adem\u00e1s, las infecciones por robin de Raspberry han incorporado un mecanismo de propagaci\u00f3n basado en USB que implica el uso de una unidad USB comprometida que contiene un archivo de acceso directo de Windows (LNK) disfrazado de carpeta para activar la implementaci\u00f3n del malware.<\/p>\n Desde entonces, el gobierno de los Estados Unidos ha revelado que el actor de amenaza de estado-estado ruso rastre\u00f3 como Cadet Blizzard puede haber usado Raspberry Robin como facilitador de acceso inicial.<\/p>\n Silent Push, en su \u00faltimo an\u00e1lisis realizado junto con Team Cymru, encontr\u00f3 una direcci\u00f3n IP que se estaba utilizando como un rel\u00e9 de datos para conectar todos los dispositivos QNAP comprometidos, lo que finalmente llev\u00f3 al descubrimiento de m\u00e1s de 180 dominios C2 \u00fanicos.<\/p>\n “La direcci\u00f3n IP singular se conect\u00f3 a trav\u00e9s de Rel\u00e9s TOR, que probablemente es c\u00f3mo los operadores de red emitieron nuevos comandos e interactuaron con dispositivos comprometidos”, dijo la compa\u00f1\u00eda. “La IP utilizada para este rel\u00e9 se bas\u00f3 en un pa\u00eds de la UE”.<\/p>\n Una investigaci\u00f3n m\u00e1s profunda de la infraestructura ha revelado que los dominios Raspberry Robin C2 son cortos – por ejemplo, Q2[.]Rs, M0[.]WF, H0[.]WF y 2i[.]PM, y que se giran r\u00e1pidamente entre los dispositivos comprometidos y a trav\u00e9s de IPS utilizando un t\u00e9cnica<\/a> llamado flujo r\u00e1pido<\/a> en un esfuerzo por hacer que sea dif\u00edcil derribarlos.<\/p>\n Algunos de los dominios de nivel superior de Raspberry Robin (TLDS) son .wf, .pm, .re, .nz, .eu, .Gy, .tw y .cx, con dominios registrados utilizando registros de nicho como Sarek Oy, 1api GmbH, Netim, Epag, Epag, Epag,[.]DE, Centralnic Ltd, y Open Srs. La mayor\u00eda de los dominios C2 identificados tienen servidores de nombres en una compa\u00f1\u00eda b\u00falgara llamada CloudNS.<\/p>\n “El uso de Raspberry Robin por parte de los actores de amenaza del gobierno ruso se alinean con su historia de trabajar con innumerables actores de amenaza serias, muchos de los cuales tienen conexiones con Rusia”, dijo la compa\u00f1\u00eda. “Estos incluyen Lockbit, Dridex, Socgholish, Dev-0206, Evil Corp (Dev-0243), Fauppod, Fin11, Clop Gang y Lace Tempest (TA505)”. <\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/03\/Los-investigadores-descubren-200-dominios-C2-unicos-vinculados-al.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n