Manuel Statik Analiz — PurpleFox Rootkit | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
|---|---|
| Archivo | 点击安装中文语言包a.msi (Çince dil paketi yükleyicisi) |
| Tip | Windows Installer (MSI) |
| Tamaño | 3.604.480 byte (3.6MB) |
| String Sayisi | 16.533 |
Çince Sosyal Mühendislik
Sahte MSI: "点击安装中文语言包" = "Çince dil paketini kurmak için tıklayın" — Çinli kullanıcılar hedefleniyor!
Şifreli Archivo Uzantıları
.zlW, .Zfsc, .zcY -- PurpleFox şifreli dosya uzantıları
C2 Config Fragmentleri
+C2pf, c&CZC2<?, )8c2z -- C2 config fragmanları
PurpleFox Hakkında
PurpleFox, 2018'den beri aktif olan Windows rootkit ve worm ailesidir. Çin'i birincil hedef alır. PowerShell, MSI ve EternalBlue (SMB) ile dağılır. Rootkit bileşeni ile kalıcılık sağlar ve AV/EDR tespitinden kaçar. Kripto madenciliği ve arka kapı yetenekleri sunar. MSI sosyal mühendisliği ile sahte yazılım olarak dağıtılır.
IOC
| SHA256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
|---|---|
| Lure | Çince dil paketi MSI kamuflajı |
PurpleFox — Perfil del malware
PurpleFox SMB worm 2018 Cin. openclaw yükleyici lure. 103.118.255.239:8888/wj/1.jpg JPEG payload kamuflaj. app.cc-coins.xyz. UAC bypass.
Tipo de malware
Rootkit
Lenguaje de programación
C/C++
Protocolo C2
HTTP
Sistemas objetivo
Cin/Asya
Capacidades y comportamiento
Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz
Lista IOC (1 indicadores)
IOC — PurpleFox
# SHA256
1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c
| Tipo | Valor | Nota |
|---|---|---|
| sha256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
Servidores C2 (2 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| 103.118.255.239 | ip | 8888 | HTTP | inactive | — |
| app.cc-coins.xyz | domain | 80 | HTTP | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.