रास्पबेरी रॉबिन
विंडोज सिस्टम को प्रभावित करने वाले हमले अभियानों में कृमि जैसी क्षमताओं वाले मैलवेयर का उपयोग किया जा रहा है। साइबर सुरक्षा शोधकर्ताओं द्वारा खतरे और उससे जुड़ी गतिविधि के समूह को रास्पबेरी रॉबिन और 'क्यूएनएपी वर्म' के रूप में ट्रैक किया गया है। उनकी रिपोर्ट के अनुसार, रास्पबेरी रॉबिन ऑपरेशन सितंबर 2021 में वापस देखा गया था, लेकिन अधिकांश गतिविधि जनवरी 2022 में और उसके बाद हुई थी। खतरे के पीड़ितों की पहचान प्रौद्योगिकी और विनिर्माण क्षेत्रों में काम करने वाली कंपनियों के रूप में की गई है, लेकिन संभावित रूप से हो सकता है अन्य भी हो। यह ध्यान दिया जाना चाहिए कि, अब तक, धमकी देने वाले अभिनेताओं के लक्ष्यों की पुष्टि नहीं हुई है।
वैध विंडोज टूल्स का शोषण
रास्पबेरी रॉबिन की संक्रमण श्रृंखला संक्रमित हटाने योग्य ड्राइव जैसे यूएसबी उपकरणों से शुरू होती है। इन ड्राइव में एक वैध फ़ोल्डर के रूप में प्रच्छन्न शॉर्टकट .lnk फ़ाइल के रूप में रास्पबेरी रॉबिन कीड़ा होता है। दूषित ड्राइव को कंप्यूटर से कनेक्ट करने के बाद खतरा सक्रिय हो जाता है। यह संक्रमित बाहरी ड्राइव पर मिली फ़ाइल को पढ़ने और फिर निष्पादित करने के लिए cmd.exe का लाभ उठाता है। शोधकर्ताओं ने पाया है कि यह आदेश विभिन्न रास्पबेरी रॉबिन डिटेक्शन के बीच संगत है, और इसे कृमि द्वारा की जाने वाली खतरनाक गतिविधियों के संकेतक के रूप में इस्तेमाल किया जा सकता है।
अपने कार्यों के हिस्से के रूप में, मैलवेयर वैध विंडोज उपयोगिताओं का व्यापक लाभ उठाता है। यह अन्य वैध इंस्टॉलर पैकेजों के साथ एक समझौता डीएलएल फ़ाइल लाने और निष्पादित करने के लिए msiexec.exe (माइक्रोसॉफ्ट स्टैंडर्ड इंस्टालर) का शोषण करता है। माना जाता है कि डीएलएल फ़ाइल में दृढ़ता से संबंधित कार्यक्षमता होती है और इसे दूषित कमांड-एंड-कंट्रोल (सी 2, सी एंड सी) डोमेन से लिया जाता है, संभवतः समझौता किए गए क्यूएनएपी उपकरणों पर होस्ट किया जाता है। रास्पबेरी रॉबिन के लिए जिम्मेदार आउटबाउंड C2 गतिविधि को विंडोज प्रक्रियाओं regsvr32.exe, rundll32.exe और dllhost.exe का उपयोग करके भी देखा गया है। बाहरी नेटवर्क कनेक्शन के प्रयास टीओआर नोड्स पर आईपी पते के उद्देश्य से थे।
रास्पबेरी रॉबिन msiexec.exe को एक और वास्तविक विंडो उपयोगिता - fodhelper.exe लॉन्च करने के लिए भी मजबूर करता है। खतरा इस पर निर्भर करता है कि वह rundll32.exe को जन्म दे और एक धमकी भरा आदेश शुरू करे। उपयोगकर्ता खाता नियंत्रण (यूएसी) संकेत को ट्रिगर किए बिना, उन्नत व्यवस्थापक विशेषाधिकारों के साथ प्रक्रियाओं को लॉन्च करने की क्षमता के कारण खतरे वाले अभिनेता ने fodhelper.exe को चुना।
