Le Rouge-gorge Framboise<\/strong> Le ver a \u00e9t\u00e9 utilis\u00e9 dans des attaques contre les syst\u00e8mes de t\u00e9l\u00e9communications et de bureaux gouvernementaux en Am\u00e9rique latine, en Australie et en Europe depuis au moins septembre 2022.<\/p>\n “La charge utile principale elle-m\u00eame contient plus de 10 couches d’obscurcissement et est capable de fournir une fausse charge utile une fois qu’elle d\u00e9tecte des outils de sandboxing et d’analyse de s\u00e9curit\u00e9”, a d\u00e9clar\u00e9 Christopher So, chercheur chez Trend Micro. m’a dit<\/a> dans une analyse technique publi\u00e9e mardi.<\/p>\n La majorit\u00e9 des infections ont \u00e9t\u00e9 d\u00e9tect\u00e9es en Argentine, suivie de l’Australie, du Mexique, de la Croatie, de l’Italie, du Br\u00e9sil, de la France, de l’Inde et de la Colombie.<\/p>\n Raspberry Robin, attribu\u00e9 \u00e0 un cluster d’activit\u00e9s suivi par Microsoft sous le nom de DEV-0856, est de plus en plus utilis\u00e9 par plusieurs acteurs de la menace comme m\u00e9canisme d’acc\u00e8s initial pour fournir des charges utiles telles que LockBit et Clop ransomware.<\/p>\n Le logiciel malveillant est connu pour s’appuyer sur des cl\u00e9s USB infect\u00e9es comme vecteur de distribution pour t\u00e9l\u00e9charger un fichier d’installation MSI malveillant qui d\u00e9ploie la principale charge utile charg\u00e9e de faciliter la post-exploitation.<\/p>\n Une analyse plus approfondie de Raspberry Robin r\u00e9v\u00e8le l’utilisation d’une obfuscation lourde pour emp\u00eacher l’analyse, avec le malware “compos\u00e9 de deux charges utiles int\u00e9gr\u00e9es dans un chargeur de charge utile emball\u00e9 six fois”.<\/p>\n Le chargeur de charge utile, pour sa part, est orchestr\u00e9 pour charger la charge utile leurre, un logiciel publicitaire appel\u00e9 BrowserAssistant, pour contrecarrer les efforts de d\u00e9tection.<\/p>\n Si aucun bac \u00e0 sable ni analyse n’est observ\u00e9, la charge utile l\u00e9gitime est install\u00e9e et se connecte \u00e0 une adresse .onion cod\u00e9e en dur \u00e0 l’aide d’un client TOR personnalis\u00e9 int\u00e9gr\u00e9 \u00e0 celle-ci pour attendre d’autres commandes.<\/p>\n Le processus client TOR se fait passer pour des processus Windows l\u00e9gitimes tels que dllhost.exe, regsvr32.exe et rundll32.exe, soulignant une fois de plus les efforts consid\u00e9rables d\u00e9ploy\u00e9s par l’acteur mena\u00e7ant pour voler sous le radar.<\/p>\n De plus, la v\u00e9ritable routine du logiciel malveillant est ex\u00e9cut\u00e9e dans S\u00e9ance 0<\/a>une session Windows sp\u00e9cialis\u00e9e<\/a> r\u00e9serv\u00e9 aux services et autres applications utilisateur non interactives pour att\u00e9nuer les risques de s\u00e9curit\u00e9 tels que briser les attaques<\/a>.<\/p>\n Trend Micro a d\u00e9clar\u00e9 avoir trouv\u00e9 des similitudes dans une escalade de privil\u00e8ges et une technique anti-d\u00e9bogage utilis\u00e9e par les ran\u00e7ongiciels Raspberry Robin et LockBit, faisant allusion \u00e0 un lien potentiel entre les deux acteurs criminels.<\/p>\n “Le groupe derri\u00e8re Raspberry Robin est le fabricant de certains des outils que LockBit utilise \u00e9galement”, a th\u00e9oris\u00e9 la soci\u00e9t\u00e9, ajoutant qu’il “a fait appel aux services de l’affili\u00e9 responsable des techniques utilis\u00e9es par LockBit”.<\/p>\n Cela dit, les intrusions semblent \u00eatre une op\u00e9ration de reconnaissance, car aucune donn\u00e9e n’est renvoy\u00e9e du domaine TOR, ce qui sugg\u00e8re que le groupe \u00e0 l’origine du logiciel malveillant “teste les eaux pour voir jusqu’o\u00f9 ses d\u00e9ploiements peuvent se propager”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/1670949871_285_De-graves-attaques-auraient-pu-etre-mises-en-scene-via.png\")
<\/a><\/center><\/div>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/Raspberry-Robin-Worm-frappe-a-nouveau-ciblant-les-systemes-de.png\" "\\"Rouge-gorge")
<\/div>\n