Purple Fox Malware legger til ormekapasiteter i ny kampanje
Purple Fox er en stamme av skadelig programvare som har eksistert i noen år nå. Imidlertid har sikkerhetsforskere rapportert om en ny økning i aktivitet og infeksjoner med Purple Fox, hovedsakelig drevet av en ny utvidelse av malwareens verktøysett og tillegg av ormfunksjonalitet til pakken.
Forskere som jobber med Guardicore publiserte en ny rapport om Purple Fox. Rapporten skisserer at mens skadelig programvare tidligere brukte phishing-e-post og utnyttelsessett som sitt primære middel til forplantning, har den nå lagt til ormlignende funksjoner.
Den nye infeksjonsvektoren til Purple Fox inkluderer angripende Windows-maskiner med en aktiv tilkobling til Internett og passord for servermeldingsblokkering som tvinges.
New Surge in Purple Fox Attacks
Dette nye middelet for å infiltrere nye maskiner ble oppdaget bare nylig, i det som ser ut til å være en ny kampanje for å spre Purple Fox. Etter et kort fall i Purple Fox-angrep i slutten av 2020 og den første måneden i 2021, har angrepene hoppet 600%, og totalen ligger på svimlende 90.000.
Et flertall av skadelig programvares nettverk av kompromitterte servere består av utdaterte versjoner av Microsoft Server med IIS 7.5, samt Microsoft FTP. Begge disse produktene, i versjonen utnyttet av skadelig programvare, har kjent sårbarheter som rapporten beskriver som "varierende alvorlighetsgrader".
Purple Fox, en gang distribuert på et målsystem og har oppnådd kodeutførelsesfunksjoner, etablerer utholdenhet gjennom en ny tjeneste som kjører en "for" -sløyfe, og treffer et utvalg av URL-er som installerer den endelige nyttelasten.
Den virkelige nyttelasten kommer pakket som et falskt Windows Update MSI-installasjonsprogram. Guardicore påpekte at installatørene har forskjellige hashes, noe som er et raskt og skittent forsøk på å forvirre alle som undersøker lignende angrep og prøver å knytte dem til samme kampanje eller kilde.
Tillegget av selvforplantningsteknikker til skadelig programvare som opprinnelig var uten dem, er ikke noe nytt eller revolusjonerende. Selv Ryuk - en av de mest beryktede ransomware-familiene, ble oppdatert med ormlignende selvforplantningsevner, som rapportert av forskere tidlig i 2021.
I likhet med Purple Fox sprer Ryuk seg også ved hjelp av nettverksandeler og portskanning av servermeldingsblokkering.
