Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Un groupe de pirates informatiques identifié simplement sous le nom de DEV-0950 utilise le ransomware CIop pour crypter le réseau des organisations qui ont été précédemment infectées par le ver Raspberry Robin.
Raspberry Robin est un ver Windows qui se propage via un périphérique USB amovible. Il utilise le programme d'installation de Windows pour accéder aux domaines associés à QNAP et télécharger une DLL malveillante. Le logiciel malveillant utilise ensuite les nœuds de sortie TOR comme infrastructure C2 de secours.
Le logiciel malveillant utilise cmd.exe pour lire et exécuter un fichier stocké sur le disque externe infecté. Il s'appuie sur msiexec.exe pour communiquer sur le réseau externe avec un domaine malveillant, qui est utilisé comme C2 pour télécharger et installer un fichier de bibliothèque DLL.
Bien que le logiciel malveillant ait été utilisé dans l'activité post-compromission liée à DEV-0950, les données collectées par Microsoft Defender for Endpoint montrent que près de 3 500 appareils dans près de 1 000 organisations ont été compromis au cours des 30 derniers jours avec au moins une alerte liée à la charge utile RaspberryRobin.
Les attaques menées par le DEV-0950 ont conduit à l'utilisation de la balise Cobalt Strike. Dans d'autres cas, les attaquants ont diffusé le logiciel malveillant Truebot entre l'infection de Raspberry Robin et le déploiement de Cobalt Strike. Les enquêtes montrent en outre que les experts ont observé des infections de vers utilisant les charges utiles IcedID Bumblebee et TrueBot à partir du 19 septembre 2022, la dernière étape de l'attaque étant le déploiement du ransomware CIop.
Cependant, DEV-0950 n'est pas le seul acteur de la menace à exploiter la vulnérabilité pour lancer des attaques par ransomware contre des organisations. Les chercheurs ont observé la propagation de FakeUpdates via le logiciel malveillant Raspberry Robin. Selon les chercheurs de Microsoft, un autre acteur de la menace, identifié comme DEV-0206, était responsable de l'utilisation du ver pour déployer un téléchargeur sur des réseaux contrôlés par des acteurs de la menace avec des TTP d'Evil Corp.
Les chercheurs ont expliqué que DEV-0206 est un courtier d'accès qui utilise des campagnes publicitaires de logiciels malveillants pour compromettre les réseaux d'entreprise.
"DEV-0950 utilise traditionnellement l'hameçonnage pour acquérir la majorité de ses victimes, de sorte que ce passage notable à l'utilisation de Raspberry Robin leur permet de fournir des charges utiles aux infections existantes et de faire passer leurs campagnes plus rapidement à l'étape du ransomware. Étant donné la nature interconnectée de l'économie cybercriminelle, il est possible que les acteurs à l'origine de ces campagnes de logiciels malveillants liées à Raspberry Robin - généralement distribuées par d'autres moyens tels que des publicités ou des courriels malveillants - paient les opérateurs de Raspberry Robin pour l'installation de logiciels malveillants", peut-on lire dans le rapport publié par Microsoft.
Les sources de cet article comprennent un article paru dans SecurityAffairs.
