রাস্পবেরি রবিন
কৃমির মতো ক্ষমতাসম্পন্ন একটি ম্যালওয়্যার উইন্ডোজ সিস্টেমকে প্রভাবিত করে আক্রমণ প্রচারে ব্যবহার করা হচ্ছে। সাইবারসিকিউরিটি গবেষকরা রাস্পবেরি রবিন এবং 'কিউএনএপি ওয়ার্ম' হিসাবে হুমকি এবং এর সাথে সম্পর্কিত ক্লাস্টার অফ অ্যাক্টিভিটি ট্র্যাক করেছেন। তাদের প্রতিবেদন অনুসারে, রাস্পবেরি রবিন অপারেশনটি 2021 সালের সেপ্টেম্বরে আবার লক্ষ্য করা গেছে, তবে বেশিরভাগ কার্যকলাপ 2022 সালের জানুয়ারিতে এবং তার পরে ঘটেছিল। হুমকির শিকার ব্যক্তিদের প্রযুক্তি এবং উত্পাদন খাতে অপারেটিং কোম্পানি হিসাবে চিহ্নিত করা হয়েছে, তবে সেখানে সম্ভাব্য পাশাপাশি অন্যদের হতে. এটি উল্লেখ করা উচিত যে, এখনও পর্যন্ত, হুমকি অভিনেতাদের লক্ষ্য নিশ্চিত করা হয়নি।
বৈধ উইন্ডোজ সরঞ্জাম শোষণ
রাস্পবেরি রবিনের সংক্রমণ শৃঙ্খল সংক্রামিত অপসারণযোগ্য ড্রাইভ যেমন USB ডিভাইসগুলির সাথে শুরু হয়। এই ড্রাইভগুলিতে একটি শর্টকাট .lnk ফাইলের আকারে রাস্পবেরি রবিন ওয়ার্ম রয়েছে, একটি বৈধ ফোল্ডারের ছদ্মবেশে। ক্ষতিগ্রস্থ ড্রাইভটি কম্পিউটারের সাথে সংযুক্ত হওয়ার পরে হুমকি সক্রিয় হয়। সংক্রমিত এক্সটার্নাল ড্রাইভে পাওয়া একটি ফাইল পড়া এবং তারপর চালানোর জন্য এটি cmd.exe-এর সুবিধা নেয়। গবেষকরা খুঁজে পেয়েছেন যে এই কমান্ডটি বিভিন্ন রাস্পবেরি রবিন সনাক্তকরণের মধ্যে সামঞ্জস্যপূর্ণ, এবং কীট দ্বারা পরিচালিত হুমকিমূলক কার্যকলাপের একটি সূচক হিসাবে ব্যবহার করা যেতে পারে।
এর ক্রিয়াকলাপের অংশ হিসাবে, ম্যালওয়্যার বৈধ Windows ইউটিলিটিগুলির ব্যাপক সুবিধা গ্রহণ করে৷ এটি অন্যান্য বৈধ ইনস্টলার প্যাকেজের পাশাপাশি একটি আপস করা DLL ফাইল আনতে এবং কার্যকর করতে msiexec.exe (মাইক্রোসফ্ট স্ট্যান্ডার্ড ইনস্টলার) ব্যবহার করে। ডিএলএল ফাইলটিতে স্থিরতা-সম্পর্কিত কার্যকারিতা রয়েছে বলে বিশ্বাস করা হয় এবং এটি একটি দূষিত কমান্ড-এন্ড-কন্ট্রোল (C2, C&C) ডোমেন থেকে নেওয়া হয়েছে, সম্ভবত আপোসকৃত QNAP ডিভাইসে হোস্ট করা হয়েছে। রাস্পবেরি রবিনের আউটবাউন্ড C2 অ্যাক্টিভিটিও উইন্ডোজ প্রসেস regsvr32.exe, rundll32.exe এবং dllhost.exe ব্যবহার করে দেখা গেছে। বহিরাগত নেটওয়ার্ক সংযোগ প্রচেষ্টা TOR নোডের আইপি ঠিকানার লক্ষ্য ছিল।
রাস্পবেরি রবিন msiexec.exe-কে আরেকটি বাস্তব উইন্ডো ইউটিলিটি - fodhelper.exe চালু করতে বাধ্য করে। হুমকিটি rundll32.exe তৈরি করতে এবং একটি হুমকিমূলক কমান্ড শুরু করতে এটির উপর নির্ভর করে। ইউজার অ্যাকাউন্ট কন্ট্রোল (UAC) প্রম্পট ট্রিগার না করেই এলিভেটেড অ্যাডমিন সুবিধা সহ প্রসেস চালু করার ক্ষমতার কারণে হুমকি অভিনেতা fodhelper.exe বেছে নিয়েছিলেন।
