El malware Raspberry Robin fue identificado por primera vez en 2021 por Red Canary. Desde entonces, ha mostrado una evolución significativa al adquirir acceso temprano a exploits de Windows.
Estrategias de elevación de privilegios
Cuando se ejecuta por primera vez en un equipo, intentará automáticamente elevar privilegios mediante diversos exploits de día cero. La utilización de exploits 1-day indica que tiene acceso a explotaciones avanzadas.
Evitación de firmas de comportamiento
En recientes oleadas de ataques, ha incorporado métodos de comunicación y movimiento lateral modificados para evadir firmas de comportamiento basadas en su versión anterior. Ha adoptado métodos de entrega novedosos que se disfrazan como componentes legítimos de Windows.
Uso de la plataforma Discord
Utiliza la plataforma Discord para dejar archivos maliciosos, probablemente después de enviar los enlaces por correo electrónico al objetivo. Los archivos contienen un ejecutable firmado digitalmente (OleView.exe) y un archivo DLL malicioso (aclui.dll).
Mitigaciones recomendadas
Se espera que el malware continúe evolucionando añadiendo nuevos exploits. Check Point proporciona indicadores de compromiso para ayudar en la detección y mitigación.