Purple Fox Malware agrega capacidades de gusano en una nueva campaña
Purple Fox es una variedad de malware que existe desde hace algunos años. Sin embargo, los investigadores de seguridad han informado de un nuevo aumento en la actividad y las infecciones con Purple Fox, impulsado en gran medida por una nueva expansión del kit de herramientas del malware y la adición de la funcionalidad de gusano al paquete.
Los investigadores que trabajan con Guardicore publicaron un nuevo informe sobre Purple Fox. El informe destaca que, si bien el malware anteriormente utilizaba correos electrónicos de phishing y kits de explotación como su principal medio de propagación, ahora ha agregado capacidades similares a las de los gusanos.
El nuevo vector de infección de Purple Fox incluye atacar máquinas con Windows con una conexión activa a Internet y contraseñas de bloqueo de mensajes de servidor de fuerza bruta.
Nueva oleada de ataques del zorro púrpura
Este nuevo medio de infiltrarse en nuevas máquinas se descubrió recientemente, en lo que parece ser una nueva campaña para difundir Purple Fox. Tras una breve caída en los ataques de Purple Fox a finales de 2020 y el primer mes de 2021, los ataques han aumentado un 600% y el total se sitúa en la asombrosa cifra de 90.000.
La mayor parte de la red de servidores comprometidos del malware consiste en versiones desactualizadas de Microsoft Server con IIS 7.5, así como Microsoft FTP. Ambos productos, en la versión explotada por el malware, tienen vulnerabilidades conocidas que el informe describe como de "diferentes niveles de gravedad".
Purple Fox, una vez implementado en un sistema de destino y habiendo logrado las capacidades de ejecución de código, establece la persistencia a través de un nuevo servicio que ejecuta un bucle 'for', golpeando un grupo de URL que instala la carga útil final.
La carga útil real viene empaquetada como un instalador MSI falso de actualización de Windows. Guardicore señaló que los instaladores tienen diferentes hashes, lo que es un intento rápido y sucio de confundir a cualquiera que examine ataques similares y trate de vincularlos a la misma campaña o fuente.
La adición de técnicas de autopropagación al malware que originalmente carecía de ellas no es algo nuevo ni revolucionario. Incluso Ryuk, una de las familias de ransomware más infames, se actualizó con capacidades de autopropagación similares a gusanos, según informaron los investigadores a principios de 2021.
Al igual que Purple Fox, Ryuk también se propaga utilizando recursos compartidos de red de bloques de mensajes del servidor y escaneo de puertos.
