Malware Perkiler utilisé par Purple Fox pour les attaques Brute Force
Perkiler est le nom attribué à une souche de logiciels malveillants qui a fait la une des journaux en association avec le tristement célèbre Purple Fox.
Perkiler est abandonné par Purple Fox et est utilisé par pour les attaques par force brute sur les blocs de message serveur (SMB) sur les systèmes exécutant des versions obsolètes des produits serveur Microsoft.
Purple Fox, le malware qui abandonne Perkiller, a fait la une des journaux ces dernières semaines, en ajoutant des capacités de type ver à sa boîte à outils et en recourant à des attaques par mot de passe par force brute sur les PME des systèmes Windows connectés à Internet. Ce n'est pas la première fois que des logiciels malveillants tentent d'abuser des PME pour infiltrer les systèmes. Le tristement célèbre ransomware WannaCry comprenait également des fonctionnalités ciblant les PME.
Nous avons couvert les attaques par force brute des PME dans un autre article sur Purple Fox et sa résurgence, grâce au module de ver nouvellement ajouté. Cependant, les chercheurs ne savent toujours pas pourquoi Perkiler et les mauvais acteurs derrière lui ont décidé de lancer des attaques par force brute, étant donné l'existence de meilleurs outils malveillants.
Les exemples incluent EternalBlue, un exploit développé par la NSA et plus tard divulgué au public par le consortium de hackers Shadow Brokers. EternalBlue exploite une vulnérabilité dans le protocole SMB de Microsoft, codifiée comme CVE-2017-0144.
Perkiler a également un composant rootkit. Son objectif est de masquer et d'obscurcir divers composants malveillants, y compris les clés de registre et les fichiers Windows.
Le rootkit redémarrerait le système compromis, puis exécuterait le malware. Lors de l'exécution, Perkiler commence à sonder les adresses IP via le port 445. Une fois qu'un système répond à la sonde, il tente de forcer le SMB.
Les chercheurs ont en outre noté que Perkiler installera une interface IPv6 sur le système compromis, afin qu'il puisse commencer à analyser les ports IPv6 en plus, car cela permettra une propagation plus facile sur les sous-réseaux IPv6 qui ont tendance à être moins protégés et mal surveillés.
Les suggestions des chercheurs en sécurité pour éviter des attaques par force brute similaires incluent simplement la suppression de SMB et si cela s'avère impossible, à tout le moins l'exécution du service SMB derrière un VPN authentifié multifactoriel.
