Une nouvelle analyse de l’infrastructure d’attaque de Raspberry Robin a r\u00e9v\u00e9l\u00e9<\/a> qu’il est possible pour d’autres acteurs de la menace de r\u00e9utiliser les infections pour leurs propres activit\u00e9s malveillantes, ce qui en fait une menace encore plus puissante.<\/p>\n Raspberry Robin (alias ver QNAP), attribu\u00e9 \u00e0 un acteur mena\u00e7ant surnomm\u00e9 DEV-0856, est un logiciel malveillant qui passe de plus en plus sous le radar pour \u00eatre utilis\u00e9 dans des attaques visant des entit\u00e9s financi\u00e8res, gouvernementales, d’assurance et de t\u00e9l\u00e9communications.<\/p>\n Compte tenu de son utilisation de plusieurs acteurs de la menace pour d\u00e9poser un large \u00e9ventail de charges utiles telles que SocGholish, Bumblebee, TrueBot, ID glac\u00e9<\/a>et le ran\u00e7ongiciel LockBit, il est soup\u00e7onn\u00e9 d’\u00eatre un botnet de paiement par installation (PPI) capable de servir les charges utiles de la prochaine \u00e9tape.<\/p>\n Raspberry Robin, notamment, utilise des cl\u00e9s USB infect\u00e9es comme m\u00e9canisme de propagation et exploite les p\u00e9riph\u00e9riques de stockage en r\u00e9seau (NAS) QNAP viol\u00e9s comme commande et contr\u00f4le de premier niveau (C2).<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 SEKOIA a d\u00e9clar\u00e9 qu’elle \u00e9tait en mesure d’identifier au moins huit serveurs priv\u00e9s virtuels (VPS) h\u00e9berg\u00e9s sur Linode qui fonctionnent comme une deuxi\u00e8me couche C2 qui agissent probablement comme des proxys de transfert vers le prochain niveau encore inconnu.<\/p>\n “Chaque QNAP compromis semble agir en tant que validateur et transitaire”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 bas\u00e9e en France. “Si la requ\u00eate re\u00e7ue est valide, elle est redirig\u00e9e vers un niveau sup\u00e9rieur d’infrastructure.”<\/p>\n La cha\u00eene d’attaque se d\u00e9roule donc comme suit : Lorsqu’un utilisateur ins\u00e8re la cl\u00e9 USB et lance un fichier de raccourci Windows (.LNK), le utilitaire msiexec<\/a> est lanc\u00e9, qui, \u00e0 son tour, t\u00e9l\u00e9charge les principaux charge utile Raspberry Robin obscurcie<\/a> depuis l’instance QNAP.<\/p>\n Cette d\u00e9pendance \u00e0 msiexec pour envoyer des requ\u00eates HTTP pour r\u00e9cup\u00e9rer le logiciel malveillant permet de d\u00e9tourner ces requ\u00eates pour t\u00e9l\u00e9charger une autre charge utile MSI malveillante, soit par des attaques de piratage DNS, soit en achetant des domaines pr\u00e9c\u00e9demment connus apr\u00e8s leur expiration.<\/p>\n Un tel domaine est tiua[.]uk, qui a \u00e9t\u00e9 enregistr\u00e9 au d\u00e9but de la campagne fin juillet 2021 et utilis\u00e9 comme C2 entre le 22 septembre 2021 et le 30 novembre 2022, date \u00e0 laquelle il a \u00e9t\u00e9 suspendu par le registre .UK.<\/p>\n “En pointant ce domaine vers notre gouffre, nous avons pu obtenir la t\u00e9l\u00e9m\u00e9trie de l’un des premiers domaines utilis\u00e9s par les op\u00e9rateurs de Raspberry Robin”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9, ajoutant avoir observ\u00e9 plusieurs victimes, indiquant “qu’il \u00e9tait encore possible de r\u00e9affecter un domaine Raspberry Robin”. pour activit\u00e9s malveillantes.”<\/p>\n Les origines exactes de la fa\u00e7on dont la premi\u00e8re vague d’infections USB de Raspberry Robin a eu lieu restent actuellement inconnues, bien que l’on soup\u00e7onne qu’elle ait pu \u00eatre obtenue en s’appuyant sur d’autres logiciels malveillants pour diffuser le ver.<\/p>\n Cette hypoth\u00e8se est attest\u00e9e par la pr\u00e9sence d’un module d’\u00e9pandage .NET qui serait responsable de la distribution des fichiers Raspberry Robin .LNK des h\u00f4tes infect\u00e9s vers les cl\u00e9s USB. Ces fichiers .LNK compromettent ensuite d’autres machines via la m\u00e9thode susmentionn\u00e9e. <\/p>\n Le d\u00e9veloppement intervient quelques jours apr\u00e8s que Mandiant de Google a r\u00e9v\u00e9l\u00e9 que le groupe Turla, li\u00e9 \u00e0 la Russie, avait r\u00e9utilis\u00e9 des domaines expir\u00e9s associ\u00e9s au logiciel malveillant ANDROMEDA pour fournir des outils de reconnaissance et de porte d\u00e9rob\u00e9e aux cibles compromises par ce dernier en Ukraine.<\/p>\n “Les botnets ont plusieurs objectifs et peuvent \u00eatre r\u00e9utilis\u00e9s et\/ou remodel\u00e9s par leurs op\u00e9rateurs ou m\u00eame d\u00e9tourn\u00e9s par d’autres groupes au fil du temps”, a d\u00e9clar\u00e9 le chercheur.<\/p>\n <\/p>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673468504_794_Une-nouvelle-analyse-revele-que-Raspberry-Robin-peut-etre-reutilise.png\" "\\"Rouge-gorge")
<\/div>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673468504_519_Une-nouvelle-analyse-revele-que-Raspberry-Robin-peut-etre-reutilise.png\" "\\"Rouge-gorge")
<\/div>\n![\"Rouge-gorge](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673468505_600_Une-nouvelle-analyse-revele-que-Raspberry-Robin-peut-etre-reutilise.png\" "\\"Rouge-gorge")
<\/div>\n