Purple Fox Malware fügt Wurmfunktionen in neuer Kampagne hinzu

Purple Fox ist eine Malware, die es schon seit einigen Jahren gibt. Sicherheitsforscher haben jedoch einen neuen Anstieg der Aktivitäten und Infektionen mit Purple Fox gemeldet, der hauptsächlich auf eine neue Erweiterung des Toolkits der Malware und die Erweiterung des Pakets um Wurmfunktionen zurückzuführen ist.

Forscher, die mit Guardicore zusammenarbeiten, haben einen neuen Bericht über Purple Fox veröffentlicht. In dem Bericht wird erläutert, dass die Malware zuvor Phishing-E-Mails verwendet und Kits als primäres Verbreitungsverfahren ausgenutzt hat, jetzt jedoch wurmartige Funktionen hinzugefügt hat.

Der neue Infektionsvektor von Purple Fox umfasst das Angreifen von Windows-Computern mit einer aktiven Verbindung zum Internet und Brute-Forcing-Kennwörtern zum Blockieren von Servernachrichten.

Neuer Anstieg bei Purple Fox-Angriffen

Dieses neue Mittel zur Infiltration neuer Maschinen wurde erst kürzlich in einer scheinbar neuen Kampagne zur Verbreitung von Purple Fox entdeckt. Nach einem kurzen Rückgang der Purple Fox-Angriffe Ende 2020 und im ersten Monat des Jahres 2021 sind die Angriffe um 600% gestiegen, und die Gesamtzahl liegt bei erstaunlichen 90.000.

Ein Großteil des Netzwerks gefährdeter Server der Malware besteht aus veralteten Versionen von Microsoft Server mit IIS 7.5 sowie Microsoft FTP. Beide Produkte weisen in der von der Malware ausgenutzten Version bekannte Schwachstellen auf, die im Bericht als "mit unterschiedlichem Schweregrad" beschrieben werden.

Sobald Purple Fox auf einem Zielsystem bereitgestellt wurde und die Funktionen zur Codeausführung erreicht hat, wird die Persistenz durch einen neuen Dienst hergestellt, der eine 'for'-Schleife ausführt und auf einen URL-Pool trifft, der die endgültige Nutzlast installiert.

Die eigentliche Nutzlast wird als gefälschtes Windows Update-MSI-Installationsprogramm geliefert. Guardicore wies darauf hin, dass die Installer unterschiedliche Hashes haben. Dies ist ein schneller und schmutziger Versuch, jeden zu verwirren, der ähnliche Angriffe untersucht und versucht, sie mit derselben Kampagne oder Quelle zu verknüpfen.

Das Hinzufügen von Selbstverbreitungstechniken zu Malware, die ursprünglich ohne diese war, ist weder neu noch revolutionär. Sogar Ryuk - eine der berüchtigtsten Ransomware-Familien - wurde mit wurmartigen Selbstausbreitungsfunktionen aktualisiert, wie Forscher Anfang 2021 berichteten.

Ähnlich wie bei Purple Fox verbreitet sich Ryuk auch mithilfe von Netzwerkfreigaben für Server-Nachrichtenblöcke und Port-Scans.