{datensicherheit.de, 25.03.2021] Guardicore hat nach eigenen Angaben eine neue Sicherheitsanalyse über die Malware-Kampagne „Purple Fox“ veröffentlicht. Dieses Schadprogramm infiziert demnach anfällige „Windows“-Systeme durch Exploit- oder Phishing-Attacken. Sicherheitsexperten von Guardicore Labs hätten jetzt einen weiteren Angriffsvektor dieser Malware erkannt, „bei dem auch SMB-Passwörter von ,Windows‘-Systemen per Brute-Force-Angriff geknackt werden“.

Bereits 2.000 mit Malware kompromittierte Server

Die Malware „Purple Fox“ nutzt ein Rootkit, um erfolgreiche Infektionen auf den betroffenen IT-Systemen zu verbergen und ein Entfernen des Schadprogramms zu erschweren. Mittlerweile gebe es ein Netzwerk von rund 2.000 kompromittierten Servern, mit denen die unbekannten Angreifer schädliche „Payloads und Dropper“ verteilten. Im wesentlichen handele es sich dabei um Webserver mit „Microsoft Internet Information Services (IIS) 7.5“.

600 Prozent mehr Malware-Attacken

Im März 2018 sei „Purple Fox“ vom Guardicore Global Sensors Network (GGSN) erstmals erkannt worden. Das GGSN sei ein weltweites Netzwerk von Erkennungssensoren, welche in Rechenzentren und Cloud-Umgebungen auf der ganzen Welt eingesetzt würden und in der Lage seien, Angriffsströme vollständig zu erfassen und auszuwerten. Ende 2020 habe Guardicore den Versuch der „Purple-Fox“-Entwickler verzeichnet, nach anfälligen SMB-Diensten (Server Message Block) und schwachen Passwörtern oder Hash-Verfahren zu scannen – die Folge: „Seit Mai 2020 ist die Zahl der Infektionen um circa 600 Prozent auf insgesamt 90.000 Attacken gestiegen.“

Ausführung Malware-Payload über anfälligen Netzwerkdienst oder Phishing-Angriff

Guardicore Sicherheitsanalyse zeige, dass die Wurm-Payload entweder über einen anfälligen Netzwerkdienst oder einen Phishing-Angriff auf eine Browser-Schwachstelle ausgeführt werde. „Purple Fox“ tarne sich als „Windows“-Update-Paket und umgehe statische Signatur-Erkennungsmethoden. Im Verlauf des Installationsprozesses auf kompromittierten Rechnern ändere die Malware die „Windows“-Firewall-Regeln, um mehrere Befehle, Port-Scans und Vorbereitungen für weitere Angriffe steuern zu können.

Weitere Informationen zum Thema:

datensicherheit.de, 17.12.2020]
PLEASE_READ_ME: Automatisierter Ransomware-Befall auf MySQL-Servern

Guardicore, Amit Serper
Purple Fox Rootkit Now Propagates as a Worm

[datensicherheit.de, 22.10.2011] Der Virenschutz-Experte Bitdefender stellt ab sofort online ein Removal-Tool für die aggressive Rootkit-Malware „Duqu“ zum kostenlosen Download bereit:
Bei dem Schädling handele es sich um eine aktuell sehr verbreitete Schadsoftware, die die Technologie des militärisch genutzten „Stuxnet“-Virus mit einem erweiterten Keylogger und einer Backdoor-Applikation verbinde.
„Stuxnet“ hatte im September 2010 für Aufsehen gesorgt, als er offenbar genutzt wurde, um das iranische Atomprogramm auszuspionieren. Wie sein hochgefährlicher „Vater“ bediene sich „Rootkit.Duqu.A“ eines gestohlenen, digitalen Zertifikats, das eigentlich nicht mehr gültig sei. Dieses Zertifikat ermögliche ihm, sich selbst auf „Windows“-basierenden 32- und 64-bit-Versionen der Betriebssysteme von „Windows XP“ bis hin zu „Windows 7“ zu installieren. „Duqu“ verbleibe 36 Tage auf dem Computer und sammele in dieser Zeit alle möglichen Informationen, die über die Tastatur eingegeben wurden – dies umfasse auch Passwörter, E-Mails, IM-Konversationen und vieles mehr.
Nach dieser Phase der Überwachung entferne sich der Virus samt den Keylogger-Komponenten selbstständig vom System. Bis dahin ermögliche es die spezielle Rootkit-Technologie dem Schadcode, sich sowohl vor den Anwendern als auch vor dem Abwehrmechanismus des Betriebssystems sowie einfachen Virenschutzlösungen zu verstecken.
Rootkit-Viren seien sehr schwer zu erkennen, da sie es schafften, das Betriebssystem zu kontaminieren, bevor es vollständig geladen ist. Vom manuellen Entfernen werde dringend abgeraten, so Bitdefender in einer aktuellen Mitteilung.

Weitere Informationen zum Thema:

Bitdefender
Laden sie den Rootkit.Duqu.A removal tool herunter

[datensicherheit.de, 07.10.2011] 2011 sei Rootkit-Malware zu neuer Prominenz gelangt, so Bitdefender, allen voran die beiden Vertreter „TDSS“ und „TDL4“:
Seit kurzem kursiere ein neuer Rootkit-Typ namens „ZeroAccess“ oder auch „Sirefef“ im Netz. Bitdefender habe in einer aktuellen Analyse festgestellt, dass der Schädling systemkritische Dateien austausche und Kernel-Strukturen verändere. Zudem deaktiviere „ZeroAccess“ installierte Security-Software. Anwendern, deren Rechner bereits durch das Rootkit kompromittiert ist, stellt Bitdefender unter „Malware City“ nun ein kostenloses Removal-Tool zum Download bereit.

Weitere Informationen zum Thema:

Bitdefender Security Center, 06.10.2011
Rootkit ZeroAccess entfernen: Bitdefender stellt kostenloses Removal-Tool bereit