Microsoft, çeşitli endüstri sektörlerinden yüzlerce kuruluşun ağlarında yakın zamanda benekli bir Windows solucanının bulunduğunu söylüyor.
Raspberry Robin olarak adlandırılan kötü amaçlı yazılım, enfekte USB cihazları aracılığıyla yayılıyor ve ilk olarak Eylül 2021'de Red Canary istihbarat analistleri tarafından tespit edildi.
Siber güvenlik firması Sekoia ayrıca Kasım ayı başlarında [PDF] komut ve kontrol sunucuları (C2) sunucuları olarak QNAP NAS cihazlarını kullandığını, Microsoft'un 2019'da oluşturulan bu solucana bağlı kötü niyetli eserler bulduğunu söyledi.
Redmond'un bulguları, bazıları teknoloji ve imalat sektörlerinde bulunan birden fazla müşterinin ağlarında da bu solucanı tespit eden Red Canary'nin algılama mühendislik ekibinin bulgularıyla uyumludur.
Microsoft, TOR ağındaki adreslere bağlanan kötü amaçlı yazılımları gözlemlemesine rağmen, tehdit aktörleri henüz kurbanlarının ağlarına kazandıkları erişimi kullanmıyor.
Bu, kötü amaçlı yazılımların meşru Windows araçlarını kullanarak enfekte olmuş sistemlerde kullanıcı hesap kontrolünü (UAC) atlayabilmesi nedeniyle saldırılarını kolayca artırabilmelerine rağmen.
Microsoft, bu bilgiyi EndPoint aboneleri için Microsoft Defender ile paylaşılan ve BleepingComputer tarafından görülen özel bir tehdit istihbarat danışmanında paylaştı.
Daha önce de belirtildiği gibi, Raspberry Robin, kötü niyetli bir .lnk dosyası içeren enfekte USB sürücüleri aracılığıyla yeni Windows sistemlerine yayılıyor.
USB cihazı eklendikten ve kullanıcı bağlantıyı tıkladıktan sonra, solucan enfekte sürücüde depolanan kötü amaçlı bir dosyayı başlatmak için cmd.exe kullanarak bir msiexec işlemi oluşturur.
Yeni Windows cihazlarına bulaşır, komut ve kontrol sunucuları (C2) ile iletişim kurar ve birkaç meşru Windows yardımcı programlarını kullanarak kötü amaçlı yükler yürütür:
Red Canary araştırmacıları, "Msiexec.exe meşru yükleyici paketlerini indirip yürütürken, rakipler de kötü amaçlı yazılım sunmak için onu kullanıyor."
"Raspberry Robin, C2 amacıyla kötü amaçlı bir alana harici ağ iletişimini denemek için msiexec.exe kullanır."
Raspberry Robin'i The Wild'da gören güvenlik araştırmacıları henüz kötü amaçlı yazılımları bir tehdit grubuna bağlamıyor ve hala operatörlerinin nihai hedefini bulmaya çalışıyorlar.
Bununla birlikte, Microsoft, saldırganların kurbanların ağları içinde ek kötü amaçlı yazılımları indirip dağıtabileceği ve ayrıcalıklarını istedikleri zaman artırabileceği göz önüne alındığında, bu kampanyayı yüksek riskli olarak etiketledi.
Yeni Raspberry Robin Worm, kötü amaçlı yazılımları bırakmak için Windows yükleyicisini kullanır
Microsoft: SYSRV Botnet, Windows, Linux sunucularını yeni istismarlarla hedefler
Bu PowerShell Eğitim Paketi ile pencerelerden daha fazlasını elde edin
Microsoft: Internet Explorer'ı kalıcı olarak devre dışı bırakmak için Windows Update
Microsoft Haziran 2022 Patch Salı Düzeltmeleri 1 Sıfır Gün, 55 Kusur
Kaynak: Bleeping Computer