Purple Fox Malware lägger till maskmöjligheter i ny kampanj

Purple Fox är en stam av skadlig kod som har funnits i några år nu. Säkerhetsforskare har emellertid rapporterat om en ny ökning i aktivitet och infektioner med Purple Fox, till stor del driven av en ny expansion av skadlig programvara verktygslåda och tillägg av mask funktioner till paketet.

Forskare som arbetar med Guardicore publicerade en ny rapport om Purple Fox. Rapporten beskriver att även om skadlig programvara tidigare använde nätfiske-e-postmeddelanden och utnyttjar kit som dess främsta spridningsmedel har den nu lagt till maskliknande funktioner.

Den nya infektionsvektorn för Purple Fox inkluderar attackerande Windows-maskiner med en aktiv anslutning till Internet och lösenord för att blockera servermeddelanden.

Ny våg i lila rävattacker

Det här nya sättet att infiltrera nya maskiner sågs nyligen, i vad som verkar vara en ny kampanj för att sprida Purple Fox. Efter en kort minskning av Purple Fox-attacker i slutet av 2020 och den första månaden 2021 har attackerna hoppat 600% och summan uppgår till svindlande 90.000.

En majoritet av malwareens nätverk av komprometterade servrar består av föråldrade versioner av Microsoft Server med IIS 7.5, samt Microsoft FTP. Båda dessa produkter, i den version som utnyttjas av skadlig programvara, har känt sårbarheter som rapporten beskriver som "varierande svårighetsgrader".

Purple Fox, en gång distribuerat på ett målsystem och har uppnått kodkörningsfunktioner, etablerar uthållighet genom en ny tjänst som kör en "for" -slinga och träffar en pool av webbadresser som installerar den slutliga nyttolasten.

Den verkliga nyttolasten kommer förpackad som ett falskt Windows Update MSI-installationsprogram. Guardicore påpekade att installatörerna har olika hash, vilket är ett snabbt och smutsigt försök att förvirra alla som undersöker liknande attacker och försöker länka dem till samma kampanj eller källa.

Tillägget av självförökningstekniker till skadlig programvara som ursprungligen var utan dem är inte något nytt eller revolutionerande. Även Ryuk - en av de mest ökända ransomwarefamiljerna, fick uppdatering med maskliknande självförökningskapacitet, vilket rapporterades av forskare i början av 2021.

I likhet med Purple Fox sprider Ryuk också med hjälp av servermeddelandeblockeringsnätverksdelar och portavsökning.