PingPull Malware
Sikkerhedsforskere med Palo Altos Unit 42 opdagede og analyserede en ny stamme af malware kaldet PingPull. Den nye malware har RAT-funktioner og er særlig svær at opdage.
PingPull er det nyeste værktøj i arsenalet af GALLIUMs avancerede persistente trussel-aktør, nogle gange omtalt som Softcell. I betragtning af geolokaliseringen af enheder, der er målrettet af GALLIUM og deres funktionsmåde, såvel som deres brug af malware og driftsformer, der allerede er forbundet med kendte kinesiske trusselsaktører, betyder det, at GALLIUM-outfittet meget sandsynligt også er kinesisk og er sponsoreret af staten.
PingPull selv kommer i tre forskellige varianter, der kan bruge tre forskellige protokoller til at kommunikere med malwares C2-servere, selvom alle tre varianter har de samme muligheder.
Trojanen tilbyder tolv forskellige kommandoer ved at bruge cmd.exe Windows-processen som en omvendt skal. Disse kommandoer inkluderer optælling af lagerdrev, alle større handlinger med filer, inklusive konvertering til hex, tidsstempling af filer og manipulering af mapper.
Malwaren kan installere en kopi af sig selv som en tjeneste på den kompromitterede maskine ved at kopiere beskrivelsen af Iphlpsvc Windows-tjenesten i et forsøg på at undvige opdagelse.
Kommunikation mellem trojaneren og dens C2-infrastruktur er krypteret ved hjælp af AES.
