ਰਸਬੇਰੀ ਰੌਬਿਨ
ਵਿੰਡੋਜ਼ ਸਿਸਟਮਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਨ ਵਾਲੇ ਹਮਲੇ ਦੀਆਂ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਕੀੜੇ ਵਰਗੀਆਂ ਸਮਰੱਥਾਵਾਂ ਵਾਲਾ ਇੱਕ ਮਾਲਵੇਅਰ ਵਰਤਿਆ ਜਾ ਰਿਹਾ ਹੈ। ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਧਮਕੀ ਅਤੇ ਇਸ ਨਾਲ ਸੰਬੰਧਿਤ ਗਤੀਵਿਧੀਆਂ ਦੇ ਸਮੂਹ ਨੂੰ ਰਸਬੇਰੀ ਰੌਬਿਨ ਅਤੇ 'QNAP ਕੀੜੇ' ਵਜੋਂ ਟਰੈਕ ਕੀਤਾ ਗਿਆ ਹੈ। ਉਨ੍ਹਾਂ ਦੀਆਂ ਰਿਪੋਰਟਾਂ ਅਨੁਸਾਰ, ਰਾਸਬੇਰੀ ਰੌਬਿਨ ਆਪ੍ਰੇਸ਼ਨ ਸਤੰਬਰ 2021 ਵਿੱਚ ਦੇਖਿਆ ਗਿਆ ਸੀ, ਪਰ ਜ਼ਿਆਦਾਤਰ ਗਤੀਵਿਧੀਆਂ ਜਨਵਰੀ 2022 ਵਿੱਚ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਹੋਈਆਂ ਸਨ। ਧਮਕੀ ਦੇ ਪੀੜਤਾਂ ਦੀ ਪਛਾਣ ਤਕਨਾਲੋਜੀ ਅਤੇ ਨਿਰਮਾਣ ਖੇਤਰਾਂ ਵਿੱਚ ਕੰਮ ਕਰਨ ਵਾਲੀਆਂ ਕੰਪਨੀਆਂ ਵਜੋਂ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਹੋਰ ਵੀ ਬਣੋ। ਇਹ ਨੋਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ, ਹੁਣ ਤੱਕ, ਧਮਕੀ ਅਦਾਕਾਰਾਂ ਦੇ ਟੀਚਿਆਂ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ.
ਜਾਇਜ਼ ਵਿੰਡੋਜ਼ ਟੂਲਸ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨਾ
ਰਾਸਬੇਰੀ ਰੌਬਿਨ ਦੀ ਲਾਗ ਚੇਨ ਸੰਕਰਮਿਤ ਹਟਾਉਣਯੋਗ ਡਰਾਈਵਾਂ ਜਿਵੇਂ ਕਿ USB ਡਿਵਾਈਸਾਂ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। ਇਹਨਾਂ ਡਰਾਈਵਾਂ ਵਿੱਚ ਇੱਕ ਸ਼ਾਰਟਕੱਟ .lnk ਫਾਈਲ ਦੇ ਰੂਪ ਵਿੱਚ ਰਸਬੇਰੀ ਰੌਬਿਨ ਕੀੜਾ ਹੁੰਦਾ ਹੈ, ਇੱਕ ਜਾਇਜ਼ ਫੋਲਡਰ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਸ ਵਿੱਚ। ਖਰਾਬ ਡਰਾਈਵ ਦੇ ਕੰਪਿਊਟਰ ਨਾਲ ਕਨੈਕਟ ਹੋਣ ਤੋਂ ਬਾਅਦ ਧਮਕੀ ਸਰਗਰਮ ਹੋ ਜਾਂਦੀ ਹੈ। ਇਹ ਸੰਕਰਮਿਤ ਬਾਹਰੀ ਡਰਾਈਵ 'ਤੇ ਪਾਈ ਗਈ ਫਾਈਲ ਨੂੰ ਪੜ੍ਹਨ ਅਤੇ ਫਿਰ ਚਲਾਉਣ ਲਈ cmd.exe ਦਾ ਲਾਭ ਲੈਂਦਾ ਹੈ। ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਪਾਇਆ ਹੈ ਕਿ ਇਹ ਹੁਕਮ ਵੱਖ-ਵੱਖ ਰਾਸਬੇਰੀ ਰੌਬਿਨ ਖੋਜਾਂ ਦੇ ਵਿਚਕਾਰ ਇਕਸਾਰ ਹੈ, ਅਤੇ ਕੀੜੇ ਦੁਆਰਾ ਕੀਤੀਆਂ ਧਮਕੀਆਂ ਵਾਲੀਆਂ ਗਤੀਵਿਧੀਆਂ ਦੇ ਸੂਚਕ ਵਜੋਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ।
ਇਸਦੀਆਂ ਕਾਰਵਾਈਆਂ ਦੇ ਹਿੱਸੇ ਵਜੋਂ, ਮਾਲਵੇਅਰ ਜਾਇਜ਼ ਵਿੰਡੋਜ਼ ਉਪਯੋਗਤਾਵਾਂ ਦਾ ਵਿਆਪਕ ਲਾਭ ਲੈਂਦਾ ਹੈ। ਇਹ msiexec.exe (ਮਾਈਕ੍ਰੋਸਾਫਟ ਸਟੈਂਡਰਡ ਇੰਸਟੌਲਰ) ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ ਤਾਂ ਜੋ ਹੋਰ ਜਾਇਜ਼ ਇੰਸਟਾਲਰ ਪੈਕੇਜਾਂ ਦੇ ਨਾਲ, ਇੱਕ ਸਮਝੌਤਾ ਕੀਤੀ DLL ਫਾਈਲ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਚਲਾਉਣ ਲਈ. ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ DLL ਫਾਈਲ ਵਿੱਚ ਸਥਿਰਤਾ-ਸੰਬੰਧੀ ਕਾਰਜਕੁਸ਼ਲਤਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਖਰਾਬ ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ (C2, C&C) ਡੋਮੇਨ ਤੋਂ ਲਿਆ ਗਿਆ ਹੈ, ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਸਮਝੌਤਾ ਕੀਤੇ QNAP ਡਿਵਾਈਸਾਂ 'ਤੇ ਹੋਸਟ ਕੀਤਾ ਗਿਆ ਹੈ। ਰਾਸਬੇਰੀ ਰੌਬਿਨ ਨੂੰ ਆਊਟਬਾਉਂਡ C2 ਗਤੀਵਿਧੀ ਵੀ ਵਿੰਡੋਜ਼ ਪ੍ਰਕਿਰਿਆਵਾਂ regsvr32.exe, rundll32.exe ਅਤੇ dllhost.exe ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਦੇਖੀ ਗਈ ਹੈ। ਬਾਹਰੀ ਨੈੱਟਵਰਕ ਕੁਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ਾਂ ਦਾ ਉਦੇਸ਼ TOR ਨੋਡਾਂ 'ਤੇ IP ਪਤਿਆਂ 'ਤੇ ਸੀ।
Raspberry Robin msiexec.exe ਨੂੰ ਇੱਕ ਹੋਰ ਅਸਲੀ ਵਿੰਡੋ ਉਪਯੋਗਤਾ - fodhelper.exe ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਦਾ ਹੈ। ਖ਼ਤਰਾ rundll32.exe ਨੂੰ ਪੈਦਾ ਕਰਨ ਅਤੇ ਧਮਕੀ ਦੇਣ ਵਾਲੀ ਕਮਾਂਡ ਸ਼ੁਰੂ ਕਰਨ ਲਈ ਇਸ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਧਮਕੀ ਅਭਿਨੇਤਾ ਨੇ ਇੱਕ ਉਪਭੋਗਤਾ ਖਾਤਾ ਨਿਯੰਤਰਣ (UAC) ਪ੍ਰੋਂਪਟ ਨੂੰ ਟਰਿੱਗਰ ਕੀਤੇ ਬਿਨਾਂ, ਐਲੀਵੇਟਿਡ ਐਡਮਿਨ ਅਧਿਕਾਰਾਂ ਨਾਲ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਦੇ ਕਾਰਨ fodhelper.exe ਨੂੰ ਚੁਣਿਆ।
