Purple Fox viene utilizzato come “downloader” per distribuire altri malware ed è stato individuato per la prima volta nel 2018 dopo aver infettato almeno 30.000 dispositivi.
A partire da maggio 2020, però, gli attacchi di Purple Fox si sono notevolmente intensificati, raggiungendo un totale di 90.000 attacchi e il 600% di infezioni in più, secondo i ricercatori di Guardicore Labs Amit Serper e Ophir Harpaz.
Il modulo exploit kit di Purple Fox aveva già preso di mira gli utenti di Windows in passato attraverso il browser dopo aver sfruttato un exploit di corruzione di memoria e alcune vulnerabilità per l’elevazione dei privilegi.
Dopo aver scoperto un sistema Windows esposto durante la scansione dei dispositivi raggiungibili su Internet, il modulo worm appena aggiunto da Purple Fox lo infetta effettuando un brute-force delle password del protocollo “SMB”.
Finora, Purple Fox ha distribuito i suoi file su una vasta rete di bot, un esercito di quasi 2.000 server compromessi, secondo il rapporto di Guardicore Labs, tra cui macchine Windows Server o Microsoft FTP e server che eseguono Microsoft RPC o Microsoft Terminal Service.
"Nel corso della nostra ricerca, abbiamo osservato un'infrastruttura che sembra essere fatta di un miscuglio di server vulnerabili che ospitano il payload iniziale del malware e infrastrutture di server che sembrano essere collegate ad altre campagne di malware", hanno detto Serper e Harpaz.Prima di riavviare i dispositivi infetti, Purple Fox installa anche un modulo rootkit “Hidden” per nascondere i file e le cartelle infettate o le voci del registro di Windows create sui sistemi infetti. Dopo aver distribuito il rootkit e riavviato il dispositivo, il malware sostituisce il suo payload DLL ad un DLL di sistema e si configura per essere lanciato all'avvio. A questo punto, ciascuno dei sistemi infetti scansiona continuamente Internet per altri obiettivi, tentando di comprometterli e aggiungerli alla botnet.
Maggiori informazioni, tra cui gli indirizzi IP a cui il malware si connette, sono disponibili su Github.
