La Rouge-gorge Framboise<\/b> Le ver devient un logiciel malveillant d’acc\u00e8s en tant que service pour d\u00e9ployer d’autres charges utiles, notamment IcedID, Bumblebee, TrueBot (alias Silence) et Clop ransomware.<\/p>\n
Il fait “partie d’un \u00e9cosyst\u00e8me de logiciels malveillants complexe et interconnect\u00e9, avec des liens vers d’autres familles de logiciels malveillants et des m\u00e9thodes d’infection alternatives au-del\u00e0 de sa propagation sur cl\u00e9 USB d’origine”, a d\u00e9clar\u00e9 le Microsoft Security Threat Intelligence Center (MSTIC). a dit<\/a> dans un \u00e9crit d\u00e9taill\u00e9.<\/p>\n Raspberry Robin, \u00e9galement appel\u00e9 ver QNAP en raison de l’utilisation de serveurs de stockage QNAP compromis pour la commande et le contr\u00f4le, est le nom donn\u00e9 \u00e0 un logiciel malveillant par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Red Canary qui se propage aux syst\u00e8mes Windows via des cl\u00e9s USB infect\u00e9es.<\/p>\n MSTIC garde un \u0153il sur le groupe d’activit\u00e9 derri\u00e8re les infections USB Raspberry Robin comme DEV-0856<\/strong>ajoutant qu’il a connaissance d’au moins quatre points d’entr\u00e9e confirm\u00e9s qui ont tous pour objectif final probable de d\u00e9ployer des ransomwares.<\/p>\n L’\u00e9quipe de cybers\u00e9curit\u00e9 du g\u00e9ant de la technologie a d\u00e9clar\u00e9 que Raspberry Robin \u00e9tait pass\u00e9 d’un ver largement distribu\u00e9 sans actions post-infection observ\u00e9es \u00e0 l’une des plus grandes plateformes de distribution de logiciels malveillants actuellement actives.<\/p>\n Selon les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie recueillies aupr\u00e8s de Microsoft Defender pour Endpoint, environ 3 000 appareils r\u00e9partis sur pr\u00e8s de 1 000 organisations ont rencontr\u00e9 au moins une alerte li\u00e9e \u00e0 la charge utile Raspberry Robin au cours des 30 derniers jours.<\/p>\n Le dernier d\u00e9veloppement s’ajoute aux preuves croissantes d’activit\u00e9s de post-exploitation li\u00e9es \u00e0 Raspberry Robin, qui, en juillet 2022, a \u00e9t\u00e9 d\u00e9couvert agissant comme un canal pour diffuser le malware FakeUpdates (alias SocGholish).<\/p>\n Cette activit\u00e9 FakeUpdates a \u00e9galement \u00e9t\u00e9 suivie d’un comportement pr\u00e9-ransomware attribu\u00e9 \u00e0 un cluster de menaces suivi par Microsoft sous le nom de DEV-0243 (alias Evil Corp), le tristement c\u00e9l\u00e8bre syndicat russe de la cybercriminalit\u00e9 derri\u00e8re le cheval de Troie Dridex et un cadre de commande et de contr\u00f4le (C2) appel\u00e9 TeslaGun.<\/p>\n Microsoft, en octobre 2022, a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 que Raspberry Robin \u00e9tait utilis\u00e9 dans une activit\u00e9 post-compromise attribu\u00e9e \u00e0 un autre acteur de menace dont le nom de code est DEV-0950 et qui chevauche des groupes surveill\u00e9s publiquement sous les noms FIN11 et TA505.<\/p>\n Alors que les noms FIN11 et TA505 ont souvent \u00e9t\u00e9 utilis\u00e9s de mani\u00e8re interchangeable, Mandiant, propri\u00e9t\u00e9 de Google (anciennement FireEye) d\u00e9crit<\/a> FIN11 en tant que sous-ensemble d’activit\u00e9s relevant du Groupe TA505<\/a>.<\/p>\n Il convient \u00e9galement de souligner l’amalgame de Evil Corp et TA505<\/a>bien que Propoint \u00e9value<\/a> “TA505 est diff\u00e9rent d’Evil Corp”, sugg\u00e9rant que ces clusters partagent des points communs tactiques partiels les uns avec les autres.<\/p>\n \u00ab \u00c0 partir d’une infection par Raspberry Robin, l’activit\u00e9 DEV-0950 a conduit \u00e0 des compromis sur le clavier de Cobalt Strike, parfois avec une infection TrueBot observ\u00e9e entre les stades Raspberry Robin et Cobalt Strike \u00bb, a d\u00e9clar\u00e9 le chercheur. “L’activit\u00e9 a abouti au d\u00e9ploiement du ran\u00e7ongiciel Clop.”<\/p>\n Microsoft a \u00e9galement \u00e9mis l’hypoth\u00e8se que les acteurs derri\u00e8re ces campagnes de logiciels malveillants li\u00e9s \u00e0 Raspberry Robin payaient les op\u00e9rateurs du ver pour la livraison de la charge utile, leur permettant de s’\u00e9loigner du phishing en tant que vecteur pour acqu\u00e9rir de nouvelles victimes.<\/p>\n De plus, un acteur cybercriminel surnomm\u00e9 DEV-0651 a \u00e9t\u00e9 li\u00e9 \u00e0 la distribution d’un autre artefact appel\u00e9 Fauppod par l’abus de services cloud l\u00e9gitimes, qui pr\u00e9sente des similitudes de code avec Raspberry Robin et supprime \u00e9galement le malware FakeUpdates.<\/p>\n Le fabricant de Windows a en outre not\u00e9 avec une confiance moyenne que Fauppod repr\u00e9sente le premier maillon connu de la cha\u00eene d’infection Raspberry Robin pour propager cette derni\u00e8re via des fichiers LNK sur des cl\u00e9s USB.<\/p>\n Pour ajouter au casse-t\u00eate de l’attaque, IBM Security X-Force, au d\u00e9but du mois dernier, a identifi\u00e9 des similitudes fonctionnelles entre un composant de chargeur utilis\u00e9 dans la cha\u00eene d’infection Raspberry Robin et le malware Dridex. Microsoft attribue cette connexion au niveau du code \u00e0 Fauppod adoptant les m\u00e9thodes de Dridex pour \u00e9viter l’ex\u00e9cution dans des environnements sp\u00e9cifiques.<\/p>\n “La cha\u00eene d’infection de Raspberry Robin est un processus d\u00e9routant et carte compliqu\u00e9e<\/a> de multiples points d’infection qui peuvent conduire \u00e0 de nombreux r\u00e9sultats diff\u00e9rents, m\u00eame dans des sc\u00e9narios o\u00f9 deux h\u00f4tes sont infect\u00e9s simultan\u00e9ment \u00bb, a d\u00e9clar\u00e9 Microsoft.<\/p>\n <\/p>\n<\/div>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1667018070_354_Les-operateurs-Raspberry-Robin-vendent-aux-cybercriminels-lacces-a-des.jpg\" "\\"Rouge-gorge")
<\/div>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/10\/1667018071_352_Les-operateurs-Raspberry-Robin-vendent-aux-cybercriminels-lacces-a-des.jpg\" "\\"Rouge-gorge")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663940313_323_Des-chercheurs-decouvrent-le-nouveau-Metador-APT-ciblant-les-operateurs.png\")
<\/a><\/div>\n