Malware Perkiler utilizado por Purple Fox para ataques de fuerza bruta

Perkiler es el nombre asignado a una variedad de malware que llegó a los titulares por asociación con el infame Purple Fox.

Purple Fox descarta Perkiler y lo utiliza para ataques de fuerza bruta en bloques de mensajes de servidor (SMB) en sistemas que ejecutan versiones obsoletas de productos de servidor de Microsoft.

Purple Fox, el malware que lanza Perkiller, fue noticia en las últimas semanas al agregar capacidades similares a gusanos a su kit de herramientas y recurrir a ataques de contraseña de fuerza bruta en SMB de sistemas Windows conectados a Internet. Esta no es la primera vez que el malware intenta abusar de las SMB para infiltrarse en los sistemas. El infame ransomware WannaCry también incluía una funcionalidad dirigida a las PYMES.

Cubrimos los ataques de fuerza bruta de SMB en otro artículo sobre Purple Fox y su resurgimiento, impulsado por el módulo de gusano recién agregado. Sin embargo, los investigadores todavía están un poco confundidos por qué Perkiler y los malos actores detrás de él decidieron realizar ataques de fuerza bruta, dada la existencia de mejores herramientas maliciosas.

Los ejemplos incluyen EternalBlue, un exploit desarrollado por la NSA y luego filtrado al público por el consorcio de hackers Shadow Brokers. EternalBlue explota una vulnerabilidad en el protocolo SMB de Microsoft, codificado como CVE-2017-0144.

Perkiler también tiene un componente de rootkit. Su objetivo es enmascarar y ocultar varios componentes maliciosos, incluidos archivos y claves de registro de Windows.

El rootkit reiniciará el sistema comprometido y luego ejecutará el malware. Al ejecutarse, Perkiler comienza a sondear las direcciones IP a través del puerto 445. Una vez que un sistema responde a la sonda, intentará utilizar la fuerza bruta del SMB.

Los investigadores señalaron además que Perkiler instalará una interfaz IPv6 en el sistema comprometido, de modo que pueda comenzar a realizar un escaneo de puertos IPv6 además, ya que esto permitirá una propagación más fácil a través de subredes IPv6 que tienden a estar menos protegidas y mal monitoreadas.

Las sugerencias que brindan los investigadores de seguridad para evitar ataques de fuerza bruta similares incluyen simplemente deshacerse de SMB y, si eso resulta imposible, al menos ejecutar el servicio SMB detrás de una VPN autenticada de múltiples factores.