रास्पबेरी रोबिन
विन्डोज प्रणालीहरूलाई असर गर्ने आक्रमण अभियानहरूमा वर्म-जस्तो क्षमता भएको मालवेयर प्रयोग भइरहेको छ। खतरा र यससँग सम्बन्धित गतिविधिको समूहलाई साइबरसुरक्षा अनुसन्धानकर्ताहरूले रास्पबेरी रोबिन र 'क्यूएनएपी वर्म' को रूपमा ट्र्याक गरेका छन्। तिनीहरूको रिपोर्ट अनुसार, रास्पबेरी रोबिन अपरेशन सेप्टेम्बर 2021 मा फिर्ता देखाइएको थियो, तर धेरैजसो गतिविधि जनवरी 2022 मा र पछि भएको थियो। खतराका पीडितहरूलाई टेक्नोलोजी र उत्पादन क्षेत्रमा काम गर्ने कम्पनीहरूको रूपमा पहिचान गरिएको छ, तर त्यहाँ सम्भावित हुन सक्छ। अरु पनि हो । यो ध्यान दिनुपर्छ कि, अहिलेसम्म, धम्की अभिनेताहरूको लक्ष्य पुष्टि गरिएको छैन।
वैध विन्डोज उपकरणहरू शोषण गर्दै
रास्पबेरी रोबिनको संक्रमण श्रृंखला USB यन्त्रहरू जस्तै संक्रमित हटाउन सकिने ड्राइभहरूबाट सुरु हुन्छ। यी ड्राइभहरूमा रास्पबेरी रोबिन वर्म सर्टकट .lnk फाइलको रूपमा समावेश छ, वैध फोल्डरको रूपमा भेषमा। भ्रष्ट ड्राइभ कम्प्युटरमा जडान भएपछि खतरा सक्रिय हुन्छ। यसले संक्रमित बाह्य ड्राइभमा फेला परेको फाइल पढ्न र त्यसपछि कार्यान्वयन गर्न cmd.exe को फाइदा लिन्छ। अन्वेषकहरूले फेला पारेका छन् कि यो आदेश विभिन्न रास्पबेरी रोबिन पत्ता लगाउने बीचमा एकरूप छ, र कीरा द्वारा गरिएको धम्कीपूर्ण गतिविधिहरूको सूचकको रूपमा प्रयोग गर्न सकिन्छ।
यसको कार्यहरूको भागको रूपमा, मालवेयरले वैध Windows उपयोगिताहरूको व्यापक फाइदा लिन्छ। यसले अन्य वैध स्थापनाकर्ता प्याकेजहरूसँगै सम्झौता गरिएको DLL फाइल ल्याउन र कार्यान्वयन गर्न msiexec.exe (Microsoft Standard Installer) को शोषण गर्दछ। DLL फाइलमा दृढता-सम्बन्धित कार्यक्षमता छ र यसलाई भ्रष्ट कमाण्ड-एन्ड-कन्ट्रोल (C2, C&C) डोमेनबाट लिइएको हो, सम्भवतः सम्झौता गरिएका QNAP यन्त्रहरूमा होस्ट गरिएको मानिन्छ। आउटबाउन्ड C2 गतिविधि Raspberry Robin लाई एट्रिब्यूट गरिएको Windows प्रक्रियाहरू regsvr32.exe, rundll32.exe र dllhost.exe प्रयोग गरेर पनि अवलोकन गरिएको छ। बाह्य नेटवर्क जडान प्रयासहरू TOR नोडहरूमा आईपी ठेगानाहरूमा लक्षित थिए।
Raspberry Robin ले msiexec.exe लाई अर्को वास्तविक सञ्झ्याल उपयोगिता - fodhelper.exe सुरु गर्न बाध्य पार्छ। यो धम्की rundll32.exe स्प्यान गर्न र धम्की दिने आदेश प्रारम्भ गर्नमा निर्भर गर्दछ। प्रयोगकर्ता खाता नियन्त्रण (UAC) प्रम्प्ट ट्रिगर नगरी, उन्नत प्रशासक विशेषाधिकारहरूसँग प्रक्रियाहरू सुरु गर्ने क्षमताको कारणले खतरा अभिनेताले fodhelper.exe रोज्यो।
