Manuel Statik Analiz — PurpleFox Rootkit | Tehdit: YUKSEK
파일 Kimliği
| SHA256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
|---|---|
| 파일 | 点击安装中文语言包a.msi (Çince dil paketi yükleyicisi) |
| Tip | Windows Installer (MSI) |
| 크기 | 3.604.480 byte (3.6MB) |
| String Sayisi | 16.533 |
Çince Sosyal Mühendislik
Sahte MSI: "点击安装中文语言包" = "Çince dil paketini kurmak için tıklayın" — Çinli kullanıcılar hedefleniyor!
Şifreli 파일 Uzantıları
.zlW, .Zfsc, .zcY -- PurpleFox şifreli dosya uzantıları
C2 Config Fragmentleri
+C2pf, c&CZC2<?, )8c2z -- C2 config fragmanları
PurpleFox Hakkında
PurpleFox, 2018'den beri aktif olan Windows rootkit ve worm ailesidir. Çin'i birincil hedef alır. PowerShell, MSI ve EternalBlue (SMB) ile dağılır. Rootkit bileşeni ile kalıcılık sağlar ve AV/EDR tespitinden kaçar. Kripto madenciliği ve arka kapı yetenekleri sunar. MSI sosyal mühendisliği ile sahte yazılım olarak dağıtılır.
IOC
| SHA256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
|---|---|
| Lure | Çince dil paketi MSI kamuflajı |
PurpleFox — 악성코드 프로필
PurpleFox SMB worm 2018 Cin. openclaw yükleyici lure. 103.118.255.239:8888/wj/1.jpg JPEG payload kamuflaj. app.cc-coins.xyz. UAC bypass.
악성코드 유형
Rootkit
프로그래밍 언어
C/C++
C2 프로토콜
HTTP
대상 시스템
Cin/Asya
기능 및 동작
Zararlı Yazılım Aktivitesi
Kalıcılık Mekanizması
C2 İletişimi
Anti-Analiz
IOC 목록 (1 개 지표)
IOC — PurpleFox
# SHA256
1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | 1cfb6fc65a1c6b9f7e3a2b8d5c0f4e7a1b9d6c3f0e5a8b2d7c4f1e6a0b3d9f2c |
C2 서버 (이 패밀리에 대해 2개의 서버 기록)
| 주소 | 유형 | 포트 | 프로토콜 | 상태 | 국가 |
|---|---|---|---|---|---|
| 103.118.255.239 | ip | 8888 | HTTP | inactive | — |
| app.cc-coins.xyz | domain | 80 | HTTP | inactive | — |
C2 주소는 KEYDAL 팀이 수동으로 검증한 악성코드 샘플에서만 제공됩니다. 상업적 사용은 금지됩니다.