搜索

[16594] 2021-03-25_两年感染量翻了6倍，PurpleFox通过蠕虫攻击Windows服务器

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-03-25_两年感染量翻了6倍，PurpleFox通过蠕虫攻击Windows服务器 两 年 感 染 量 翻 了 6 倍 ， P u r p l e   F o x 通 过 蠕 虫 攻 击 W i n d o w s 服 务 器 A v e n g e r   F r e e B u f   2 0 2 1 - 0 3 - 2 5 2 0 1 8 年 ， 年 ， P u r p l e   F o x （ 紫 狐 ） 在 野 感 染 超 过 （ 紫 狐 ） 在 野 感 染 超 过   3 0 0 0 0   台 计 算 机 后 被 首 次 发 现 台 计 算 机 后 被 首 次 发 现 。 P u r p l e   F o x 通 过 漏 洞 利 用 和 钓 鱼 邮 件 进 行 传 播 分 发 ， 自 身 还 充 当 其 他 恶 意 软 件 的   D o w n l o a d e r 。 3 月 2 3 日 ， 据 外 媒 报 道 ， 安 全 研 究 人 员 发 现 P u r p l e   F o x 增 加 了 蠕 虫 传 播 模 块 ， 通 过 扫 描 、 攻 击 联 网 的 增 加 了 蠕 虫 传 播 模 块 ， 通 过 扫 描 、 攻 击 联 网 的   W i n d o w s   系 系 统 进 行 感 染 传 播 统 进 行 感 染 传 播 。 与 此 同 时 ， 更 新 的 P u r p l e   F o x 还 带 有 R o o t k i t 和 后 门 功 能 。 P u r p l e   F o x 针 对 W i n d o w s 系 统 进 行 漏 洞 利 用 套 件 的 开 发 ， 在 利 用 内 存 破 坏 和 权 限 提 升 漏 洞 后 ， 通 过 W e b 浏 览 器 感 染 W i n d o w s 用 户 。 G u a r d i c o r e   L a b s 的 安 全 研 究 员 A m i t   S e r p e r 和 O p h i r   H a r p a z 表 示 ： 从 从   2 0 2 0   年 年   5   月 开 始 ， 月 开 始 ， P u r p l e   F o x 的 攻 击 快 速 攀 的 攻 击 快 速 攀 升 。 到 目 前 为 止 ， 累 计 超 过 了 升 。 到 目 前 为 止 ， 累 计 超 过 了 9 0 0 0 0   次 ， 感 染 量 增 长 了 次 ， 感 染 量 增 长 了 6 0 0 % 。 W i n d o w s   设 备 面 临 极 大 风 险 设 备 面 临 极 大 风 险 G u a r d i c o r e   利 用 全 球 遥 测 网 络 对 威 胁 进 行 监 控 ， P u r p l e   F o x 从 去 年 年 底 开 始 表 现 出 端 口 扫 描 和 漏 洞 利 用 尝 试 的 行 为 。 扫 描 发 现 联 网 的 W i n d o w s 设 备 后 ， P u r p l e   F o x 利 用 蠕 虫 模 块 试 图 通 过 利 用 蠕 虫 模 块 试 图 通 过 S M B 爆 破 入 侵 系 统 爆 破 入 侵 系 统 。 根 据   G u a r d i c o r e   L a b s   的 分 析 报 告 ， P u r p l e   F o x   已 经 组 建 了 近 已 经 组 建 了 近   2 0 0 0   台 规 模 的 僵 尸 网 络 台 规 模 的 僵 尸 网 络 。 实 现 主 机 中 包 括 部 署 了   I I S   7 . 5   和   M i c r o s o f t   F T P   的   W i n d o w s   S e r v e r   服 务 器 以 及 运 行   M i c r o s o f t   R P C 、 M i c r o s o f t S e r v e r   S Q L   S e r v e r   2 0 0 8   R 2 、 M i c r o s o f t   H T T P A P I   h t t p d   2 . 0   等 服 务 的 服 务 器 ， 这 些 服 务 都 存 在 不 同 程 度 的 漏 洞 。
P u r p l e   F o x 的 蠕 虫 模 块 会 攻 击 公 网 暴 露 的 S M B 服 务 来 进 行 入 侵 ， 不 仅 如 此 ， P u r p l e   F o x 还 会 利 用 网 络 钓 鱼 和 还 会 利 用 网 络 钓 鱼 和 W e b 浏 浏 览 器 漏 洞 来 进 行 投 递 和 传 播 览 器 漏 洞 来 进 行 投 递 和 传 播 。 研 究 发 现 ， 失 陷 主 机 同 时 会 被 作 为 部 署 恶 意 失 陷 主 机 同 时 会 被 作 为 部 署 恶 意 P a y l o a d 的 服 务 器 进 行 恶 意 软 件 的 传 播 的 服 务 器 进 行 恶 意 软 件 的 传 播 。
R o o t k i t 模 块 进 行 持 久 化 模 块 进 行 持 久 化 P u r p l e   F o x 在 失 陷 主 机 上 部 署 R o o t k i t 模 块 进 行 持 久 化 ， 该 R o o t k i t 模 块 使 用 了 开 源 项 目 模 块 使 用 了 开 源 项 目   h i d d e n 。 P u r p l e   F o x 会 借 此 隐 藏 注 册 表 项 与 文 件 。 讽 刺 的 是 讽 刺 的 是 h i d d e n 这 个 项 目 是 安 全 研 究 人 员 开 发 ， 为 了 在 执 行 各 种 恶 意 软 这 个 项 目 是 安 全 研 究 人 员 开 发 ， 为 了 在 执 行 各 种 恶 意 软 件 分 析 任 务 时 使 某 些 文 件 对 恶 意 软 件 不 可 见 件 分 析 任 务 时 使 某 些 文 件 对 恶 意 软 件 不 可 见 。 重 新 启 动 设 备 后 ， P u r p l e   F o x 将 恶 意   D L L 重 命 名 为 将 在 系 统 启 动 时 要 执 行 的 D L L 文 件 。
系 统 感 染 后 会 表 现 出 明 显 的 蠕 虫 行 为 ， 不 断 地 进 行 S M B 扫 描 。 一 旦 身 份 验 证 成 功 ， P u r p l e   F o x 将 会 创 建 与 正 则 表 达 式 （ A C 0 [ 0 - 9 ] { 1 } ） 相 匹 配 的 服 务 名 ， 例 如   A C 0 1 、 A C 0 2 、 A C 0 5 。 该 服 务 会 从 H T T P 服 务 器 下 载 M S I 安 装 包 启 动 感 染 。 详 细 的 I O C 指 标 可 在   G i t H u b 中 查 看 ， 包 括 P u r p l e   F o x   的 M S I 文 件 投 递 站 点 和   C & C   服 务 器 。 I O C （ （ C & C ） ） r p c . 1 q w . u s 5 7 . 1 6 7 . 2 0 0 . 1 7 4 1 2 0 . 2 5 3 . 2 0 1 . 2 3 7 6 5 . 2 2 2 . 2 2 1 . 2 1 6 6 5 . 1 1 3 . 1 9 2 . 7 9 7 7 . 2 3 6 . 1 3 0 . 1 0 7 1 8 0 . 6 8 . 5 7 . 1 1 2 9 5 . 1 6 1 . 1 9 7 . 1 7 4 6 0 . 1 7 4 . 9 5 . 1 4 3 1 1 5 . 2 3 0 . 1 2 7 . 1 0 7 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理