Mobile-Menu

Raspberry Robin: Vorsicht vor Malware mit Wurm-Fähigkeiten USB-Geräte können Malware verbreiten

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH
FTAPI Software GmbH
Insider Research

Aktuell gibt es wieder einige Fälle mit Angriffen über die Malware Rasberry Robin. Nach Untersuchungen sind verschiedene USB-Geräte in Gefahr. Aus diesem Grund sollten sich Admins und Anwender mit dem Thema auseinandersetzen.

Raspberry Robin infiziert Systeme über LNK-Dateien auf USB-Geräten.(Bild: studio v-zwoelf - stock.adobe.com)
Raspberry Robin infiziert Systeme über LNK-Dateien auf USB-Geräten.
(Bild: studio v-zwoelf - stock.adobe.com)

Die Malware Raspberry Robin wurde zwar schon 2021 entdeckt, aktuell steigt die Zahl der Infektionen mit der wurmfähigen Malware wieder an. Die Entdeckung von Raspberry Robin im Jahr 2021 durch Red Canary markierte den Beginn der Beobachtung eines ausgeklügelten Schadprogramms, das primär über USB-Geräte Verbreitung fand. Die Infektion erfolgte durch den Einsatz bösartiger LNK-Dateien auf diesen Laufwerken, welche die Erscheinung von gewöhnlichen Speichermedien oder Netzwerkfreigaben annahmen.

Experten zufolge verleiteten die Hintermänner von Raspberry Robin die Nutzer durch Social Engineering dazu, diese vermeintlich harmlosen Verknüpfungen zu aktivieren. Der Klick auf die LNK-Datei löste eine Kette von Ereignissen aus, beginnend mit der Ausführung von cmd.exe, gefolgt vom Windows-Installationsdienst msiexec.exe, der schlussendlich schädlichen Code auf QNAP-NAS-Systemen einrichtete.

Raspberry Robin bleibt eine Gefahr. Die Evolution von Raspberry Robin zeigt eine deutliche Anpassungsfähigkeit und den Einsatz fortschrittlicher Taktiken. Darunter fällt die Nutzung von Discord zur Verbreitung der Malware sowie die Ausnutzung von Zero-Day-Schwachstellen, beispielsweise CVE-2023-36802, um zusätzliche Systemrechte zu erlangen.

Discord als Verbreitungsmethode

Ein Bericht von Check Pointaus dem Februar 2024 hob einen Angriff hervor, der durch ein über Discord heruntergeladenes Archiv initiiert wurde. Dieses enthielt eine legitime, von Windows signierte Binärdatei zusammen mit einer unsignierten schädlichen DLL. Durch DLL-Side-Loading konnte die Malware unbemerkt bleiben und ihre schädliche Wirkung entfalten.

Besonders bemerkenswert war die Ausnutzung der Sicherheitslücke CVE-2023-36802 durch die Malware, um lokale Berechtigungen auszuweiten, ein Vorgehen, das bereits aktiv praktiziert wurde, bevor offizielle Warnungen von Microsoft und CISA veröffentlicht wurden. Die Annahme, dass die Akteure hinter Raspberry Robin den entsprechenden Exploit im Dark Web erworben haben, unterstreicht die Notwendigkeit frühzeitiger Erkennungsmechanismen.

(ID:49989309)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte