Regresa Raspberry Robin: Nueva Campaña de Malware que se Propaga a Través de Archivos WSF

Mientras que inicialmente el malware se distribuía mediante dispositivos USB que contenían archivos LNK que recuperaban la carga útil de un dispositivo QNAP comprometido, desde entonces ha adoptado otros métodos como la ingeniería social y la publicidad maliciosa.

Se atribuye a un conjunto de amenazas emergentes rastreadas por Microsoft como Storm-0856, que tiene vínculos con el ecosistema del cibercrimen más amplio que comprende grupos como Evil Corp, Silence y TA505.

El último vector de distribución implica el uso de archivos WSF que se ofrecen para su descarga a través de varios dominios y subdominios.

Actualmente no está claro cómo los atacantes están dirigiendo a las víctimas a estos URLs, aunque se sospecha que podría ser a través de campañas de spam o malvertising.

El archivo WSF, altamente ofuscado, funciona como un descargador para recuperar la carga útil principal desde un servidor remoto usando el comando curl, pero no antes de realizar una serie de evaluaciones anti-análisis y anti-máquina virtual para determinar si se está ejecutando en un entorno virtualizado.

También está diseñado para terminar la ejecución si el número de compilación del sistema operativo Windows es inferior a 17063 (lanzado en diciembre de 2017) y si la lista de procesos en ejecución incluye procesos antivirus asociados con Avast, Avira, Bitdefender, Check Point, ESET y Kaspersky.