Специалисты по информационной безопасности бьют тревогу, что руткит Purple Fox теперь распространяется через не официальные установщики Telegram в Интернете.

На этой неделе Minerva Labs Команда кибербезопасности, работающая с MalwareHunterTeam, заявила, что Purple Fox маскируется с помощью файла с именем «Telegram Desktop.exe». Те, кто считает, что они устанавливают популярную службу обмена сообщениями, вместо этого становятся жертвами вредоносного ПО, а процесс заражения усложняет обнаружение.

Впервые обнаруженный в 2018 году, Purple Fox распространялся различными способами, включая фишинговые электронные письма, вредоносные ссылки и комплекты эксплойтов. Однако за последние несколько лет методы распространения расширились и стали включать в себя компрометацию уязвимых служб, подключенных к Интернету, открытых служб SMB и поддельных установщиков.

Вредоносный установщик Telegram был разработан в виде скомпилированного скрипта AutoIt и используется вместе с вредоносным загрузчиком TextInputh.exe.

Скрипт разделяется на несколько небольших файлов, позволяя злоумышленнику оставаться незамеченным, вследствие чего это и приводит к заражению руткитом Purple Fox.

TextInputh.exe создает новую папку и подключается к командному серверу (C2) вредоносной программы. Затем загружает и запускает два новых файла, один из которых для распаковки архивов .RAR, а второй для загрузки вредоносных DLL.

Для обеспечения сохранности на зараженной машине создается раздел реестра, а в папку ProgramData помещаются еще пять файлов для выполнения функций, включая завершение широкого спектра антивирусных процессов перед окончательным развертыванием Purple Fox.

Троян Purple Fox выпускается как в 32-битной, так и в 64-битной версиях Windows. В марте прошлого года Guardicore Labs обнаружила, что в вредоносное ПО были интегрированы новые возможности червя, и были захвачены тысячи уязвимых серверов для размещения полезных нагрузок Purple Fox.

К октябрю Trend Micro обнаружил новый бэкдор .net, получивший название FoxSocket, который считается новым дополнением к существующим возможностям вредоносного ПО.

Учитывая, что вредоносная программа теперь содержит руткит, функции червя и была обновлена ​​с помощью более надежного бэкдора, включение скрытого процесса заражения означает, что исследователи кибербезопасности, вероятно, будут пристально следить за будущим развитием этого вредоносного ПО.

«Прелесть этой атаки в том, что каждый этап разделен на отдельный файл, который бесполезен без полного набора файлов», — отметили в команде. «Это помогает злоумышленнику защитить свои файлы от AV-обнаружения».