Raspberry Robin n'est, hélas, pas le nom d'une nouvelle variété de framboise, mais celui d'un ver informatique, soit un logiciel malveillant utilisant le réseau pour se reproduire sur plusieurs appareils, repéré par Red Canary depuis bientôt neuf mois.
Le principal problème de Raspberry Robin, c'est qu'il se propage principalement par le biais de systèmes de stockage amovibles compromis, tels que des clés USB. Une méthode ancestrale toujours aussi efficace.
Un nouveau ver a pour principal hôte les clés USB
La vigilance est, une fois encore, de mise. En effet, Red Canary affirme suivre un ver se propageant par le biais de systèmes de stockage de fichiers amovibles d'appareil en appareil. Et l'enjeu réside tout d'abord en sa facilité de transmission, puisqu'il est très aisé de connecter une clé à un ordinateur sans réaliser de scan antivirus préalable, qui plus est dans un climat de confiance, par exemple au travail.
Très insidieux, ce ver dénommé Raspberry Robin emploie et trompe le moteur d'installation et de désinstallation de logiciels de Microsoft, Windows Installer. L'infection commence par un port amovible contenant une extension de fichier malicieuse « .lnk », qui, en temps normal, s'emploie pour les raccourcis de fichiers tout à fait légitimes. Les fichiers téléchargés depuis la clé USB vers l'ordinateur, y compris les malicieux, sont ensuite exécutés par la victime via cmd.exe.
Enfin, Windows Installer (msiexec.exe) va aider, malgré lui, le ver à atteindre des serveurs de contrôle et de commande (dits C2). Selon Red Canary, l'infrastructure C2 de Raspberry Robin emploie des nœuds de sortie TOR.
Pour l'heure, difficile de comprendre les intentions qui se cachent derrière ce virus
L'objectif final du ver est de permettre la création d'une bibliothèque logicielle (DLL) malveillante. L'exécuteur rundll32.exe engage l'exécution par l'utilitaire Windows, toujours malgré lui, de la DLL, ce qui favorise, de fait, un maintien du malware sur l'appareil infecté. Telle est la piste principale des chercheurs de Red Canary, mais l'enquête étant toujours en cours, cette hypothèse peut être amenée à évoluer.
L'interrogation demeure également quant à la finalité recherchée par les pirates à l'origine de ce malware. Red Canary a détecté pour la première fois ce ver en septembre 2021 et constate que sa présence augmente sur de nombreux appareils depuis janvier 2022. Heureusement, Red Canary propose d'ores et déjà, sur son site, plusieurs moyens de détecter ce virus.
Source : Red Canary
NB : on a précisé que cela ne concerne que « certaines » clés dans le titre