Un malware vermifuge basé sur une clé USB cible l'installateur de Windows
Le 2022-07-12
Des chercheurs ont découvert que des logiciels malveillants, baptisés Raspberry Robin, sont actifs depuis septembre dernier et se frayent un chemin à travers les clés USB jusqu'aux machines Windows pour utiliser Microsoft Standard Installer et d'autres processus légitimes afin d'installer des fichiers malveillants.
Les chercheurs de Red Canary Intelligence ont commencé à suivre l'activité malveillante à l'automne, lorsqu'une poignée de détections présentant des caractéristiques similaires ont été observées pour la première fois dans les environnements de plusieurs clients par Jason Killam de l'équipe d'ingénierie de détection de Red Canary. Une fois que le ver s'est propagé sur la machine de quelqu'un via une clé USB, l'activité s'appuie sur msiexec.exe pour appeler son infrastructure - qui est souvent composée de périphériques QNAP - en utilisant des requêtes HTTP qui contiennent les noms d'utilisateur et de périphérique de la victime, ont écrit Lauren Podber et Stef Rand de Red Canary dans un billet de blog publié jeudi.
Les chercheurs ont également observé que Raspberry Robin utilisait des nœuds de sortie TOR comme infrastructure de commande et de contrôle (C&C) supplémentaire, ont-ils écrit. Le ver finit par installer des fichiers de bibliothèque de liens dynamiques (DLL) malveillants trouvés sur la clé USB infectée. Bien que les chercheurs aient remarqué Raspberry Robin dès septembre 2021, la plupart des activités observées par Red Canary se sont déroulées en janvier de cette année, indiquent les chercheurs.
