Hamis Telegram telepítővel terjed a Purple Fox vírus

​A Purple Fox nevű kártékony program legújabb változata fertőzött Telegram telepítőprogramok révén kerül fel a számítógépekre.
 

A Minerva Labs biztonsági kutatóinak hálóján a Purple Fox nevű trójai akadt fent, amelyet alaposan górcső alá vettek. Ekkor derült ki, hogy egy meglehetősen összetett működésű, komolyabb károkozásra is képes szerzeményről van szó, amely jelenleg hamis Telegram for Desktop telepítők révén terjed. E kártékony fájlok legfontosabb jellemzője, hogy két állományt tartalmaznak. Egy teljesen ártalmatlan (eredeti) Telegram telepítőt, valamint egy TextInputh.exe nevű fájlt, amely minden baj forrása. Amennyiben ugyanis a felhasználó elindítja a telepítőt, akkor nem a legális szoftver indul el, hanem a trójai töltődik be, amely rögtön nekilát a nemkívánatos ténykedésének. 

A Purple Foxhoz köthető letöltő program egy távoli kiszolgálóról beszerez egy 7z segédprogramot, valamint egy RAR (1.rar) állományt, amelyeket a "C:\Users\Public\Videos\" mappába másol be. A tömörített állományt a 7z segítségével kibontja a ProgramData mappába. Ezzel a károkozó alkalmassá válik az UAC kikapcsolására, valamint a víruskeresőkhöz és egyéb biztonsági szoftverekhez kapcsolódó folyamatok leállítására. (A trójai a fertőzés során egyszer újraindítja a számítógépet, de a regisztrációs adatbázis manipulálásával gondoskodik arról, hogy ezt követően is életképes maradjon.)

A trójai lekérdezi a fertőzött rendszer legfontosabb paramétereit, valamint a telepített védelmi alkalmazások listáját. Ezeket az információkat feltölti a vezérlőszerverére, majd egy újabb, ezúttal .msi kiterjesztésű állományt szerez be. Ezáltal képessé válik fájlok felkutatására, adatok kiszivárogtatására, fájlműveletek elvégzésére, kódok futtatására vagy akár további számítógépek megfertőzésére. 

A Purple Fox által fertőzött, hamis Telegram telepítők elsősorban kártékony weboldalakon tűnhetnek fel, de akár YouTube videók alatt is letölthetővé válhatnak. Ezért ezúttal is célszerű arra ügyelni, hogy a Telegram telepítőjét a hivatalos weboldalról szerezzük be.