Các nhà nghiên cứu cảnh báo về một con sâu Raspberry Robin nguy hiểm nhắm mục tiêu người dùng Windows
Người dùng Windows cần lưu ý về việc một con sâu Raspberry Robin đang lây lan qua các thiết bị USB.
Một loại sâu Windows tương đối mới, được gọi là Raspberry Robin, đã và đang lây lan từ nạn nhân này sang nạn nhân khác trên khắp châu Âu, chủ yếu thông qua các thiết bị USB. Các nhà phân tích tình báo của Red Canary ban đầu phát hiện ra loại sâu này vào tháng 9 năm 2021 và đã cảnh báo người dùng Windows về mối đe dọa tiềm tàng của nó đối với thiết bị của họ.
Mục Lục
Thiết bị USB là mục tiêu chính của Raspberry Robin
Phương tiện truyền tải chính của sâu Raspberry Robin là các thiết bị USB. Một thiết bị bị nhiễm sẽ hiển thị cho nạn nhân tệp .LNK khi được chèn, tệp này sẽ lây nhiễm vào thiết bị thông qua dấu nhắc lệnh thông qua việc tạo quy trình msiexec (được gọi là msiexec.exe). Tệp BAT cũng có trong các thiết bị bị nhiễm, chứa hai lệnh.
Hai công cụ Windows bổ sung đang được Raspberry Robin khai thác: fodhelper.exe và odbcconf.exe. Mặc dù cả hai đều là tệp thực thi, tệp trước được sử dụng để quản lý các tính năng của Windows, còn tệp sau được sử dụng cho cấu hình trình điều khiển ODBC (Kết nối cơ sở dữ liệu mở). Việc tận dụng ba tệp khác nhau này cho phép Raspberry Robin ít bị phát hiện hơn. Phần mềm độc hại này cũng sử dụng các nút thoát TOR để giao tiếp với phần còn lại của hệ sinh thái của nó, điều này cũng làm cho nó khó phát hiện hơn.
Thiết bị NAS QNAP cũng là mục tiêu của Raspberry Robin
Các thiết bị NAS QNAP bị xâm nhập (Network-Attached Storage) cũng bị khai thác trong quá trình lây nhiễm Raspberry Robin, trong đó kẻ tấn công sử dụng các yêu cầu HTTP chứa tên người dùng và thiết bị của nạn nhân sau khi tệp .LNK được tải xuống. Sâu này sử dụng một DLL độc hại (Thư viện liên kết động) từ một thiết bị QNAP bị xâm nhập để truy cập và kiểm soát hệ thống của một người. Các thiết bị QNAP đã bị kẻ tấn công khai thác trong quá khứ vì nhiều lý do khác nhau, đặc biệt là nhiễm phần mềm độc hại.
Vẫn còn rất nhiều điều để tìm hiểu về Raspberry Robin
Raspberry Robin nhắm mục tiêu cụ thể đến người dùng Windows và hàng trăm thiết bị đã bị ảnh hưởng. Hiện tại, vẫn chưa biết Raspberry Robin lây lan từ ổ USB này sang ổ USB tiếp theo như thế nào, đây là một mối lo ngại về mặt giảm thiểu lây nhiễm. Trong một bài đăng trên Red Canary Blog, công ty tuyên bố rằng họ đang đối phó với “một số lỗ hổng tình báo” xung quanh làn sóng tấn công Raspberry Robin này, bao gồm cả ý định tổng thể của những kẻ điều hành phần mềm độc hại.
Cẩn thận khi cắm ổ USB vào máy tính của bạn
Động lực và mục tiêu của Raspberry Robin vẫn chưa được hiểu rõ, điều này khiến chúng tôi khó xác định mục đích thực sự và tương lai của phần mềm độc hại này. Do đó, người dùng Windows phải cảnh giác với các ổ USB mà họ chọn để lắp vào bất kỳ thiết bị nào của họ.