BABOO PRO | Nova versão do malware Purple Fox é distribuída pelo Rig Exploit Kit
De acordo com informações da Trend Micro, uma nova versão do malware Purple Fox está sendo distribuída pelo Rig Exploit Kit.
Versões anteriores do malware, também distribuídas pelo REK, infectaram cerca de 30.000 computadores no ano passado e usava a ferramenta Nullsoft Scriptable Install System (NSIS) para obter e executar sua carga maliciosa. Em alguns casos, ele baixava e executava malwares mineradores de criptomoedas nos computadores infectados.
Esta nova versão do malware Purple Fox detectada pela Trend Micro tem alguns novos truques na manga. Ele retém seu componente rootkit abusando de código publicamente disponível.
Ele agora também abusa do PowerShell, tornando possível o que os pesquisadores de segurança chamam de infecção sem arquivo.
A nova versão incorporou exploits adicionais à sua cadeia de infecção, provavelmente como um mecanismo para garantir que ele possa infectar o sistema alvo.
O Purple Fox age como um 'malware downloader' – além de baixar e executar malwares mineradores de criptomoedas, ele também pode baixar e executar outros tipos de malware.
Diagrama ilustrando a cadeia de infecção do malware Purple Fox:
Depois que o usuário acessa um site que hospeda uma das páginas usadas pelo Rig Exploit Kit, ela emprega um dos três métodos abaixo para redirecionar o usuário para um script do PowerShell malicioso que, por sua vez, executará diretamente o componente principal do malware Purple Fox ou elevará os privilégios para baixar e executar um arquivo que levará ao malware e assim iniciar a cadeia de infecção mostrada na imagem acima:
Através de um arquivo Flash (.swf) que explora a vulnerabilidade CVE-2018-15982, o que levaria a um script do PowerShell malicioso.
Dois arquivos .htm que exploram a CVE-2014-6332, uma vulnerabilidade no mecanismo VBScript do Internet Explorer; e a CVE-2018-8174, uma vulnerabilidade de execução remota de código (RCE) no mecanismo VBScript que afeta várias versões do Windows (essas vulnerabilidades já foram corrigidas há muito tempo). O arquivo .htm que contém o exploit para a vulnerabilidade CVE-2018-8174 redireciona para um arquivo .hta.