„Perkiler“ kenkėjiška programa, kurią „Purple Fox“ naudoja žiaurios jėgos atakoms
„Perkiler“ yra kenkėjiškų programų, kurios pateko į antraštes, pavadinimas, susietas su liūdnai pagarsėjusia „Purple Fox“.
„Purple Fox“ atsisakė „Perkiler“ ir jį panaudojo žiaurios jėgos atakoms prieš serverio pranešimų blokus (SMB) sistemose, kuriose veikia pasenusios „Microsoft“ serverio produktų versijos.
„Purple Fox“, kenkėjiška programa, išmetanti „Perkiller“, pastarosiomis savaitėmis pateko į antraštes, į savo įrankių rinkinį įtraukdama į kirminus panašių galimybių ir griebdamasi žiaurios jėgos slaptažodžio atakų prieš prie interneto prijungtų „Windows“ sistemų SMB. Tai nėra pirmas kartas, kai kenkėjiškos programos bando piktnaudžiauti SMB, kad įsiskverbtų į sistemas. Liūdnai pagarsėjusi „WannaCry“ išpirkos programinė įranga taip pat įtraukė funkciją, nukreiptą į SMB.
SMB žiaurios jėgos išpuolius aptarėme kitame straipsnyje apie „Purple Fox“ ir jo atgimimą, kurį paskatino naujai pridėtas kirminų modulis. Tačiau tyrinėtojai vis dar šiek tiek suglumę, kodėl „Perkiler“ ir jo blogi veikėjai nusprendė imtis žiaurių jėgų atakų, atsižvelgiant į geresnių kenksmingų priemonių egzistavimą.
Kaip pavyzdį galima paminėti NSA sukurtą „EternalBlue“ išnaudojimą, kurį vėliau viešai paskelbė hakerių konsorciumas „Shadow Brokers“. „EternalBlue“ naudoja „Microsoft“ SMB protokolo, koduoto kaip CVE-2017-0144, pažeidžiamumą.
„Perkiler“ taip pat turi „rootkit“ komponentą. Jo tikslas yra užmaskuoti ir užgožti įvairius kenkėjiškus komponentus, įskaitant „Windows“ registro raktus ir failus.
„Rootkit“ perkrautų pažeistą sistemą, tada paleistų kenkėjišką programą. Paleidęs „Perkiler“ pradeda tikrinti IP per 445. prievadą. Kai sistema atsakys į zondą, ji bandys sutramdyti SMB.
Tyrėjai taip pat pažymėjo, kad „Perkiler“ įdiegs „IPv6“ sąsają pažeistoje sistemoje, kad galėtų papildomai pradėti ieškoti „IPv6“ prievadų, nes tai leis lengviau išplisti per „IPv6“ potinklius, kurie būna mažiau apsaugoti ir blogai stebimi.
Pasiūlymai, kuriuos saugumo tyrėjai pateikia, kad būtų išvengta panašių žiaurių jėgų išpuolių, yra tiesiog atsikratyti SMB ir, jei tai pasirodys neįmanoma, bent jau valdyti SMB paslaugą naudojant daugiakomponentį autentifikuotą VPN.
