Purple Fox Rootkit 加強感染力 可自我複製感染眾多 Windows 電腦
以使用攻擊工具及釣魚郵件感染 Windows 電腦聞名的 Rootkit Purple Fox(紫狐),現在更加兇猛,新增蠕蟲般可自我複製的能力,破壞性更強。
安全廠商 Guardicore 研人員指出,Purple Fox 現在使用新式擴散手法,透過無差別掃瞄使用弱密碼和雜湊的 SMB 服務,加以開採感染系統。研究人員指出,近日 Purple Fox 的攻擊去年五月已大增 600%,到今年初已經有 9 萬起感染事件。
紫狐首先進攻 Windows 伺服器
Purple Fox 首先於 2018 年 3 月被人發現,當時以.msi 惡意程式形式代管於近 2 千台 Windows 伺服器上,之後下載到到受害系統上,再執行 rootkit 元件,攻擊者得以藉此將之藏在機器上躲避偵測。
Guardicore 指出,和之前相較,Purple Fox 在開採後的行為沒有太大不同,但是它新增了蠕蟲的行為,可以更大範圍散佈。
Purple Fox 現在可以經由曝險、未補漏洞的服務,如 SMB (server message block) 等進入受害系統,以此建立長期潛伏的據點,從 Windows 伺服器網路上下載惡意程式,再於受害宿主上偷偷安裝 rootkit。
紫狐拒絕其它惡意程式重複感染
一旦感染機器,Purple Fox 會封鎖機器的多個連接埠 (445、139 和 135),似乎是想「防止受害機器重覆感染,或是被其他惡意程式開採,」Guradicore 北美安全研究部門副總裁 Amit Serper 說。
之後 Purple Fox 會啟動增生過程,會產生 IP 清單,並以 port 445 掃瞄,找出網路上使用弱密碼的裝置再暴力破解,將之納入殭屍網路中。
一般殭屍網路是駭客部署來對特定網站發動阻斷服務攻擊,但也可以用來散佈惡意程式,如勒索軟體到連網電腦上。不過目前研究人員尚不知 Purple Fox 大幅度感染 Windows 電腦的用意為何。
不過新增的感染途徑再一次突顯,駭客的「創新」腳步不曾停歇,他們會斷改造感染工具以儘可能擴大攻擊面及自己的利益。