Une nouvelle enqu\u00eate a d\u00e9couvert pr\u00e8s de 200 domaines de commande et de contr\u00f4le (C2) uniques associ\u00e9s \u00e0 un malware appel\u00e9 Robin de framboise<\/b>.<\/p>\n
“Raspberry Robin (\u00e9galement connu sous le nom de Roshtyak ou Storm-0856) est un acteur de menace complexe et \u00e9volutif qui fournit des services de courtier \u00e0 acc\u00e8s initial (IAB) \u00e0 de nombreux groupes criminels, dont beaucoup ont des liens avec la Russie”, Silent Push dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News.<\/p>\n Depuis son \u00e9mergence<\/a> En 2019, le malware<\/a> est devenu un conduit pour diverses souches malveillantes comme Socgholish, Dridex, Lockbit, Icedid, Bumblebee et Truebot. Il est \u00e9galement appel\u00e9 ver QNAP en raison de l’utilisation de p\u00e9riph\u00e9riques QNAP compromis pour r\u00e9cup\u00e9rer la charge utile.<\/p>\n Au fil des ans, les cha\u00eenes d’attaque de Raspberry Robin ont ajout\u00e9 une nouvelle m\u00e9thode de distribution qui implique le t\u00e9l\u00e9chargement via des archives et des fichiers de script Windows envoy\u00e9s comme des pi\u00e8ces jointes \u00e0 l’aide de la discorde du service de messagerie, sans parler de l’acquisition d’exploits d’un jour pour r\u00e9aliser l’escalade locale de privil\u00e8ges avant d’\u00eatre divulgu\u00e9s publiquement.<\/p>\n Il existe \u00e9galement des preuves sugg\u00e9rant que le malware est propos\u00e9 \u00e0 d’autres acteurs en tant que botnet de paiement \u00e0 perplexit\u00e9 (PPI) pour livrer des logiciels malveillants \u00e0 la prochaine \u00e9tape.<\/p>\n De plus, les infections \u00e0 Raspberry Robin ont incorpor\u00e9 un m\u00e9canisme de propagation bas\u00e9 sur USB qui implique l’utilisation d’un lecteur USB compromis contenant un fichier de raccourci Windows (LNK) d\u00e9guis\u00e9 en dossier pour activer le d\u00e9ploiement du malveillant.<\/p>\n Le gouvernement am\u00e9ricain a depuis r\u00e9v\u00e9l\u00e9 que l’acteur de la menace russe de l’\u00c9tat-nation a suivi comme le cadet blizzard pourrait avoir utilis\u00e9 Raspberry Robin comme facilitateur d’acc\u00e8s initial.<\/p>\n Silent Push, dans sa derni\u00e8re analyse entrepris avec l’\u00e9quipe Cymru, a trouv\u00e9 une adresse IP qui \u00e9tait utilis\u00e9e comme relais de donn\u00e9es pour connecter tous les dispositifs QNAP compromis, conduisant finalement \u00e0 la d\u00e9couverte de plus de 180 domaines C2 uniques.<\/p>\n “L’adresse IP singuli\u00e8re a \u00e9t\u00e9 connect\u00e9e via les relais Tor, ce qui explique comment les op\u00e9rateurs de r\u00e9seau ont publi\u00e9 de nouvelles commandes et interagi avec des appareils compromis”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “La propri\u00e9t\u00e9 intellectuelle utilis\u00e9e pour ce relais \u00e9tait bas\u00e9e dans un pays de l’UE.”<\/p>\n Une enqu\u00eate plus approfondie de l’infrastructure a r\u00e9v\u00e9l\u00e9 que les domaines de Raspberry Robin C2 sont courts – par exemple, Q2[.]RS, M0[.]WF, H0[.]wf et 2i[.]pm – et qu’ils sont rapidement tourn\u00e9s entre les dispositifs compromis et via des IP en utilisant un technique<\/a> appel\u00e9 flux rapide<\/a> Dans un effort pour le rendre difficile \u00e0 les abattre.<\/p>\n Certains des meilleurs domaines de niveau sup\u00e9rieur Robin (TLD) sont .wf, .pm, .re, .nz, .eu, .gy, .tw et .cx, avec des domaines enregistr\u00e9s \u00e0 l’aide de registraires de niche comme Sarek Oy, 1API GMBH, NETIM, EPAG[.]DE, Centralnic Ltd et Open SRS. La majorit\u00e9 des domaines C2 identifi\u00e9s ont des serveurs de noms sur une entreprise bulgare nomm\u00e9e CloudNS.<\/p>\n “L’utilisation de Raspberry Robin par les acteurs de la menace du gouvernement russe s’aligne sur son histoire de travail avec d’innombrables autres acteurs de menace s\u00e9rieux, dont beaucoup ont des liens avec la Russie”, a indiqu\u00e9 la soci\u00e9t\u00e9. “Il s’agit notamment de Lockbit, Dridex, Socgholish, Dev-0206, Evil Corp (Dev-0243), Fauppod, Fin11, Clop Gang et Lace Tempest (TA505).” <\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Les-chercheurs-decouvrent-200-domaines-C2-uniques-lies-a.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n