Червеят Raspberry Robin еволюира, за да надхитри всяка антивирусна

Изследователи по киберсигурност са открили нова мащабна атака, използваща зловредния софтуер Raspberry Robin. От март тази година насам хакери го разпространяват активно с помощта на модифицирани Windows Script Files (WSF) файлове.

Според Патрик Шлаепфер, изследовател в областта на сигурността на HP Wolf, Raspberry Robin, известен също като червея QNAP преди се е разпространявал предимно чрез сменяеми носители като USB флашки. Сега обаче операторите са започнали да експериментират с други методи.

Raspberry Robin е открит за първи път през септември 2021 година. С течение на времето той е използван в множество зловредни софтуери като SocGholish, Cobalt Strike, IcedID, BumbleBee и TrueBot. Освен това Raspberry Robin може да се използва като предварителен етап за разгръщане на рансъмуер.

Новата кампания използва WSF файлове, които са хоствани на много различни домейни и поддомейни. Все още не е ясно как хакерите примамват потребителите към тези връзки, но вероятно за това помагат спамът и измамните реклами.

Добре замаскираният WSF файл изтегля зловреден полезен товар от отдалечен сървър. Преди да направи това, той извършва поредица от проверки, за да избегне откриване.

Зловредният софтуер конфигурира Microsoft Defender Antivirus така, че целият основен диск да бъде добавен в списъка за изключване. Той също така спира изпълнението, ако установи, че номерът на компилацията на операционната система Windows е по-малък от 17063 (пусната през декември 2017 гoдина) и ако списъкът на изпълняваните процеси включва приложения на Avast, Avira, Bitdefender, Check Point, ESET и Kaspersky.

„Самите скриптове понастоящем не са класифицирани като злонамерени от нито един от скенерите на VirusTotal, което показва съмнителния характер на зловредния софтуер и високия риск от заразяване на Raspberry Robin.“

отбелязва експертът на HP