Мистериозни нови Виндовс малвер наставља да се бави истраживачима Век-а

Постоји нови злонамерни софтвер за Виндовс, али нико није сигуран у његове намере.

Истраживачи кибернетичке безбедности са Црвеног Канара недавно су открили нови малвер сличан црвима који су назвали Распберри Робин, који се шири преко заражених УСБ дискова. Иако су били у могућности да посматрају и проучавају рад малвера, још увек нису могли да схвате његову крајњу сврху.

„[Распберри Робин] је занимљива прича чији крајњи профил претње тек треба да се утврди“, Тим Хелминг, јеванђелиста безбедности с ДомаинТоолс, рекао је за Лифевире преко е-поште. „Превише је непознаница да бисмо притиснули дугме за панику, али то је добар подсетник да изградња јаких детекција и предузимање мера здравог разума никада нису били важнији.

Пуцање у мраку

Разумевање крајњег циља малвера помаже у процени његовог нивоа ризика, објаснио је Хелминг.

На пример, понекад компромитовани уређаји, као што су КНАП мрежни уређаји за складиштење у случају Распберри Робин, регрутују се у велике ботнетове да монтирају дистрибуирано ускраћивање услуге (ДДоС) кампање. Или би се компромитовани уређаји могли користити за рударење криптовалуте.

У оба случаја, не би било непосредне претње губитка података за заражене уређаје. Међутим, ако Распберри Робин помаже у склапању ботнет-а за рансомваре, онда би ниво ризика за било који заражени уређај и локалну мрежу на коју је повезан могао бити изузетно висок, рекао је Хелминг.

Фелик Аиме, истраживач обавештајних служби и безбедности претњи на Секоиа рекао је за Лифевире преко Твиттер ДМ-а да такви „рупови у обавештајним подацима“ у анализи злонамерног софтвера нису неуобичајени у индустрији. Забрињавајуће је, међутим, додао да Распберри Робин открива неколико других служби за сајбер безбедност (Секоиа га прати као Кнап црв), што му говори да је ботнет који малвер покушава да направи прилично велик и да би можда могао да укључи „стотину хиљада компромитованих хостова“.

Критична ствар у саги Распберри Робин за Саи Худа, извршни директор компаније за сајбер безбедност ЦиберЦатцх, је употреба УСБ дискова, који прикривено инсталира злонамерни софтвер који затим ствара трајни везу са интернетом за преузимање другог малвера који затим комуницира са нападачем сервери.

„УСБ су опасни и не би требало да буду дозвољени“, нагласио је др Магда Чели, главни службеник за безбедност информација, ат Одговоран сајбер. „Оне пружају начин да се малвер лако шири са једног рачунара на други. Због тога је толико важно да имате ажуриран безбедносни софтвер инсталиран на рачунару и да никада не укључујете УСБ у који не верујете.”

У размени е-поште са Лифевире-ом, Симон Хартлеи, ЦИССП и стручњак за сајбер безбедност са Куантинуум рекао је да су УСБ дискови део заната које противници користе да разбију такозвану безбедност „зрачног јаза“ у системе који нису повезани на јавни интернет.

„Они су или потпуно забрањени у осетљивим окружењима или захтевају посебне контроле и провере јер о потенцијалу за додавање или уклањање података на отворене начине, као и увођење скривеног малвера“, поделио је Хартлеи.

Мотив није важан

Мелиса Бишопинг, специјалиста за истраживање безбедности крајњих тачака на Танијум, рекао је за Лифевире путем е-поште да, иако разумевање мотива малвера може помоћи, истраживачи имају више могућности за анализу понашања и артефаката које малвер оставља за собом, како би се створила детекција способности.

„Иако разумевање мотива може бити драгоцено средство за моделирање претњи и даље истраживање, одсуство тога интелигенција не поништава вредност постојећих артефаката и могућности откривања“, објаснио је Бишопинг.

Кумар Саурабх, извршни директор и суоснивач ЛогицХуб, сложио се. Он је за Лифевире преко е-поште рекао да покушај разумевања циља или мотива хакера ствара занимљиве вести, али није од велике користи из безбедносне перспективе.

Саурабх је додао да малвер Распберри Робин има све карактеристике опасног напада, укључујући даљински код егзекуције, упорности и избегавања, што је довољан доказ да се огласи узбуна и предузме агресивне радње да се ширење.

„Императив је да тимови за сајбер безбедност предузму акцију чим уоче ране претече напада“, нагласио је Саурабх. „Ако чекате да схватите крајњи циљ или мотиве, као што су рансомваре, крађа података или прекид услуге, вероватно ће бити прекасно.