Raspberry Robin于 2021 年底首次发现，是一种 Windows 蠕虫，最初针对技术和制造组织。此后，它已发展成为企业面临的最普遍的威胁之一。今年 3 月，惠普威胁研究团队发现网络犯罪分子传播 Raspberry Robin 的方式发生了变化。该恶意软件现在通过Windows 脚本文件 (WSF)传播。这些脚本高度混淆，并使用一系列反分析技术，使恶意软件能够逃避检测。从历史上看，Raspberry Robin 已知通过 USB 驱动器等可移动介质进行传播，但其分销商也尝试过其他初始感染文件类型。在本文中，我们将分享 Raspberry Robin 的背景，记录新的感染方法以及如何分析下载器脚本。
什么是Raspberry Robin？
Raspberry Robin 以其大量的混淆和反分析技术而闻名，这些技术可以绕过检测、欺骗沙箱并减缓安全团队试图理解恶意软件的速度。感染后，恶意软件通过Tor与其命令和控制 (C2) 服务器进行通信。 Raspberry Robin 能够下载并执行额外的有效负载，为威胁行为者提供其他恶意文件的立足点。该恶意软件已被用于传播SocGholish、Cobalt Strike、IcedID、BumbleBee和Truebot等系列，并且是勒索软件的前身。
初始感染演变
自 2021 年以来，传播 Raspberry Robin 的威胁行为者使用了不同的方法来感染端点：
包含恶意 Windows 快捷方式文件 (.lnk) 的 USB 设备。快捷方式文件使用 msiexec.exe (T1218.007)运行 Windows Installer 命令，从受感染的 QNAP 网络连接存储(T1584.004)设备下载有效负载。
存档文件 (RAR) 托管在 Discord (T1102)上。每个 RAR 文件都包含一个 EXE 和一个 DLL 文件。 EXE 是合法的签名二进制文件，并使用 DLL 侧面加载(T1574.002)来加载和运行恶意负载 DLL。
使用受害者的网络浏览器下载的7-Zip (.7z) 存档文件。每个存档都包含一个恶意 Windows Installer (.msi) 包(T1218.007)，该包会通过 Raspberry Robin 感染 PC。
恶意广告(T1583.008)，点击后会下载托管在 Discord (T1102)上的恶意 ZIP 文件，这些文件会导致 Raspberry Robin。
RASPBERRY ROBIN最新感染方式：WINDOWS脚本文件
Raspberry Robin 长期以来一直以 USB 蠕虫的形式传播。今年年初，网络犯罪分子通过网络下载的存档文件传播恶意软件。然而，在 2024 年 3 月上旬以来的活动中，其分销商将存档文件与 Windows 脚本文件 (.wsf) 交换。这些文件被管理员和合法软件广泛使用来自动执行 Windows 中的任务，但也可能被攻击者滥用(T1059)。 WSF 文件格式支持由Windows 操作系统内置的Windows 脚本宿主组件解释的脚本语言，例如 JScript 和 VBScript。
Windows 脚本文件可通过攻击者控制的各种恶意域和子域进行下载。目前尚不清楚威胁行为者如何引诱用户访问恶意 URL。然而，这可能是通过垃圾邮件或恶意广告活动实现的。
脚本文件充当下载程序。与 Raspberry Robin DLL 一样，该脚本使用了多种反分析和虚拟机 (VM) 检测技术。仅当所有这些评估步骤表明恶意软件正在真实的最终用户设备上而不是在沙箱中运行时，才会下载并执行最终的有效负载。这些脚本非常混乱。在分析时，VirusTotal 上的任何防病毒扫描程序均未将它们归类为恶意软件（图 1），这证明了恶意软件的规避性。
图 1 – VirusTotal 上的 Raspberry Robin WSF 下载器检测率为 0%。
WSF下载器技术分析
如果在文本编辑器中打开 Windows 脚本文件，大多数字符将无法读取。这些垃圾字符会分散注意力，隐藏实际脚本，并可能使检查该文件的任何人相信它根本不是脚本文件。
图 2 – Raspberry Robin WSF 下载器中的垃圾字符。
在文件的更下方，有定义文件开头的脚本标记。同样，在文件末尾有一个结束脚本标记，后面跟着更多的垃圾字符。
图 3 – 打开脚本标签。
实际脚本的开头可以在下面几行找到。这从变量声明开始。在整个脚本中重复使用数组来解码各个程序步骤。
图 4 – 用于解码程序的数组。
该脚本被严重混淆，并没有立即揭示其功能。使用的所有函数和变量均在运行时使用图 4 所示的数组通过函数进行编码和解码。而且，程序的控制流程也变得混乱。在这种情况下，攻击者使用while循环，其中包含switch case语句。程序的流程由动态计算的整数数组定义。
图 5 – 使用while循环和switch case语句的控制流示例。
我们发现每个switch case语句只包含一些相关的代码序列。通常，两个这样的序列用于迭代对象的枚举器，第三个序列用于评估它。
最初，恶意软件创建一个WScript shell对象，允许其与操作系统交互，并随着脚本的进展而一次又一次地使用。
图 6 – WScript shell 对象的创建。
第一种反分析技术检查脚本是否位于用户的桌面上。如果是这种情况，脚本将终止。
图 7 – 检查文件是否保存在桌面上。
如果脚本继续运行，则会创建SWbemLocator对象。该对象使脚本能够访问 Windows Management Instrumentation (WMI)，可用于查询各种系统信息。
图 8 – SWbemLocator对象的创建。
图 9 – 使用ConnectServer方法连接到 WMI 命名空间。
该脚本使用此对象执行以下检查，如果检查为真则终止脚本：
1. 该脚本检查操作系统的内部版本号是否低于 17063。Windows 10 内部版本 17063 是2017 年 12 月发布的Insider Preview 内部版本。
图 10 – 检查操作系统版本号。
2. 接下来，脚本检查处理器是否匹配表明它正在虚拟机内或服务器上运行的模式，而不是在最终用户设备上运行。 (/xEoN|bROAd|qEmu|kVM|EPyC/i)
图 11 – 检查处理器供应商和类型。
3. 如果视频控制器对应的模式为“/vmBUs|040515ad|11001aF4/i”，则表明受感染的客户端是虚拟化的。 Raspberry Robin 脚本检查 Hyper-V、VMWare 和 VirtualBox。
图 12 – 检查视频控制器。
4. 该脚本通过使用WMI 访问“ Win32_PerfFormattedData_Counters_ThermalZoneInformation ”类来检查CPU 的温度。由于非虚拟化设备上的温度将大于 0，因此这是一个简单的检查，以确定系统是否已虚拟化。
图 13 – CPU 温度检查。
5. 该脚本还使用经典方法通过检查网卡的 MAC 地址来识别运行环境是否虚拟化。该脚本尝试检测以下虚拟化解决方案：
Hyper-V
KVM
Parallels, Inc.
Oracle Virtual Iron
Oracle VM Server
QEMU
VMWare
VirtualBox
Virtual PC
Xen
图 14 – 根据某些模式检查网卡供应商。
6. 作为最后一次 WMI 检查，将列出正在运行的进程，并将其与已知防病毒进程列表进行比较。该恶意软件会检查以下安全软件供应商：
Kaspersky
ESET
Avast
Avira
Check Point
Bitdefender
图 15 – 检查某些防病毒进程。
经过以上步骤，虚拟机对脚本的检测就完成了。然而，除了确保恶意软件在真实的受害者设备上运行之外，该脚本还实施了防止其被分析的措施。这种混淆使得分析脚本变得更加困难和耗时。
由于脚本中有大量未使用的代码，加速分析的一种策略是识别实际使用了哪些代码并删除未使用的部分。这使得脚本更加清晰，并允许分析人员专注于重要的代码序列。知道这一点后，脚本作者在未使用的代码中间放置了一个不起眼的变量赋值。意外删除设置为 0 的变量赋值会导致脚本终止。if语句检查变量是否已设置，如果是，则脚本停止。
图 16 – 检查隐藏在未使用代码中的变量。
因此，在重构和分析脚本时必须小心，以确保它之后仍然可以运行。但是，动态分析也需要谨慎，因为恶意软件会使用两个命令行参数按照图 17 所示的代码序列重新启动脚本。如果在调试器中分析脚本，则恶意软件会使用此方法“爆发”，因为新进程已启动。
图 17 – 使用命令行参数重新启动脚本的代码序列。
如果重新启动脚本，脚本将识别提供的参数并继续运行。接下来，命令从磁盘中删除脚本（图 18）。此时，运行的代码因此只能在内存中找到。拥有脚本的备份副本或在执行删除命令之前中断删除命令非常重要。
图 18 – 从硬盘删除脚本。
在上一步中，该脚本检查与六个防病毒供应商关联的进程，如果找到，则停止运行。鉴于此，该脚本更有可能在受 Microsoft Defender 保护的终结点上运行。为了逃避检测，该脚本向 Microsoft Defender 添加了一个例外，将整个主驱动器排除在防病毒扫描之外。
图 19 – 将排除添加到 Microsoft Defender。
所有这些检查都可以让威胁行为者确信恶意软件正在真实的最终用户设备上运行。此外，Defender 异常显着降低了检测到后续恶意软件阶段的可能性。该脚本现在使用curl 命令从网络下载Raspberry Robin DLL，并将其存储在本地AppData 文件夹中。
图 20 – 将 Raspberry Robin DLL 下载到 AppData 文件夹的命令。
请求不是像通常情况那样由域使用 URL 路径来标识，而是通过 cookie 来标识。这使得 Web 服务器能够验证请求是否来自下载程序脚本。通过这种方式，恶意软件的操作者可以减少样本泄露给寻求分析 Raspberry Robin 的研究人员的情况。
图 21 – 运行 Raspberry Robin DLL 的命令。
最后，将文件的扩展名更改为“.dll”并使用msiexec运行。这会启动 Raspberry Robin 恶意软件，该恶意软件会运行额外的反分析和 VM 检测技术序列，直到最终执行有效负载。
结论
最近的这一活动代表了 Raspberry Robin 分发方式的一系列转变中的最新一个。尽管最出名的是通过 USB 驱动器进行传播，但部署 Raspberry Robin 的威胁行为者一直在使用不同的感染媒介（例如网络下载）来实现其目标。 WSF 下载器经过严重混淆，并使用大量反分析和反虚拟机技术，使恶意软件能够逃避检测并减慢分析速度。鉴于 Raspberry Robin 已被用作人为操作的勒索软件的前体，这一点尤其令人担忧。在感染链的早期应对这种恶意软件应该是安全团队的首要任务。
IOC
域名
chroococcoid.sbs
polyideism.sbs
ophthalmomyositis.sbs
quarrelers.sbs
counterboring.sbs
brittlebush.sbs
noematachograph.sbs
hemimetabolism.sbs
spendthriftiness.sbs
misalienate.sbs
smartville.sbs
refractorily.sbs
syllabication.sbs
uninsolvent.sbs
mammaterijekasumy.sbs
dechlorinatingdermatropic.sbs
axiologies.sbs
okruzihealdsburg.sbs
halsalkalindivvies.sbs
squeezably.sbs
contretemps.sbs
indulgement.sbs
viandelarkishness.sbs
cunyguddlefrodina.sbs
audiovisuals.sbs
perrputtnomi.sbs
azoospermia.sbs
metriconetimeagley.sbs
dundeelieflydeflect.sbs
juniorstwosometogt.sbs
nametagsweatseyelike.sbs
glubeulaufuggy.sbs
bootedpindusvalenba.sbs
rockerstalbertcerate.sbs
biltongpumpsiecrumrod.sbs
jossesdialykreamer.sbs
ingressfloor-walker.sbs
freamingrafttwoway.sbs
craighleserapic.sbs
acid-fastlindbom.sbs
annuelertimes.sbs
kepfoipnjw.sbs
semantical.sbs
dominieunflaming.sbs
urvkwwqhjb.sbs
undefinitely.sbs
294unmendaciously.sbs
oilproofing.sbs
sphere-born.sbs
294anacamptometer.sbs
proconsulships.sbs
unthematically.sbs
hockersmixtecsquier.sbs
arctiidkwatumaindwelt.sbs
curricular.sbs
buxbaumiaceae.sbs
subextensibleness.sbs
unconstrainedness.sbs
anguilliform.sbsSHA256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参考链接： https://threatresearch.ext.hp.com/raspberry-robin-now-spreading-through-windows-script-files/
图片来源网络侵权可联系删除
