Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Um grupo de hackers conhecido simplesmente como DEV-0950 está usando o ransomware CIop para criptografar a rede de organizações que já haviam sido infectadas pelo worm Raspberry Robin.
O Raspberry Robin é um worm do Windows que se propaga por meio de um dispositivo USB removível. Ele utiliza o instalador do Windows para acessar domínios associados à QNAP e baixar uma DLL maliciosa. Em seguida, o malware utiliza nós de saída da rede TOR como infraestrutura C2 de backup.
O malware utiliza o cmd.exe para ler e executar um arquivo armazenado na unidade externa infectada. Ele utiliza o msiexec.exe para comunicação de rede externa com um domínio malicioso, que é usado como C2 para baixar e instalar um arquivo de biblioteca DLL.
Embora o malware tenha sido utilizado em atividades pós-compromisso associadas ao DEV-0950, os dados coletados pelo Microsoft Defender for Endpoint mostram que quase 3.500 dispositivos em cerca de 1.000 organizações foram comprometidos nos últimos 30 dias, com pelo menos um alerta relacionado à carga útil do RaspberryRobin.
Os ataques realizados pelo DEV-0950 levaram ao uso do beacon do Cobalt Strike. Em outros casos, os invasores distribuíram o malware Truebot entre a infecção pelo Raspberry Robin e a implantação do Cobalt Strike. As investigações revelam ainda que os especialistas observaram infecções por worms utilizando cargas úteis do IcedID Bumblebee e do TrueBot a partir de 19 de setembro de 2022, sendo que a última etapa do ataque consistiu na implantação do ransomware CIop.
No entanto, o DEV-0950 não é o único agente malicioso a explorar a vulnerabilidade para lançar ataques de ransomware contra organizações. Pesquisadores observaram a disseminação do FakeUpdates por meio do malware Raspberry Robin. De acordo com pesquisadores da Microsoft, outro agente malicioso, identificado como DEV-0206, foi responsável por usar o worm para implantar um downloader em redes controladas por agentes maliciosos que utilizam as TTPs da Evil Corp.
Os pesquisadores explicaram que o DEV-0206 é um intermediário de acesso que utiliza campanhas publicitárias de malware para comprometer redes corporativas.
“O DEV-0950 costuma usar o phishing para recrutar a maioria de suas vítimas; portanto, essa mudança notável para o uso do Raspberry Robin permite que eles entreguem cargas maliciosas em infecções já existentes e avancem mais rapidamente para as etapas de ransomware em suas campanhas. Dada a natureza interconectada da economia cibercriminosa, é possível que os autores por trás dessas campanhas de malware relacionadas ao Raspberry Robin — geralmente distribuídas por outros meios, como anúncios maliciosos ou e-mail — estejam pagando aos operadores do Raspberry Robin pelas instalações do malware”, afirma o relatório publicado pela Microsoft.
As fontes utilizadas neste artigo incluem uma matéria publicada no SecurityAffairs.
