Uma ameaça persistente avançada chinesa (APT) conhecida como Gallium foi observada usando um trojan de acesso remoto não documentado anteriormente em seus ataques de espionagem direcionados a empresas que operam no Sudeste Asiático, Europa e África.
Chamado de PingPull, o backdoor “difícil de detectar” é notável pelo uso do Internet Control Message Protocol (ICMP) para comunicações de comando e controle (C2), de acordo com uma nova pesquisa publicada pela Palo Alto Networks Unit 42 hoje.
Gallium é notório por seus ataques direcionados principalmente a empresas de telecomunicações desde 2012. Também rastreado sob o nome Soft Cell pela Cybereason, o ator patrocinado pelo estado foi conectado a um conjunto mais amplo de ataques direcionados a cinco grandes empresas de telecomunicações localizadas no sudeste Países asiáticos desde 2017.
No ano passado, no entanto, o grupo expandiu sua pegada de vitimologia para incluir instituições financeiras e entidades governamentais localizadas no Afeganistão, Austrália, Bélgica, Camboja, Malásia, Moçambique, Filipinas, Rússia e Vietnã.
O PingPull, um malware baseado em Visual C++, fornece a um agente de ameaças a capacidade de acessar um shell reverso e executar comandos arbitrários em um host comprometido. Isso abrange a realização de operações de arquivo, enumeração de volumes de armazenamento e arquivos de marcação de tempo.
“As amostras PingPull que usam ICMP para comunicações C2 emitem pacotes ICMP Echo Request (ping) para o servidor C2”, detalharam os pesquisadores. “O servidor C2 responderá a essas solicitações de eco com um pacote Echo Reply para emitir comandos para o sistema.”
Também foram identificadas variantes do PingPull que dependem de HTTPS e TCP para se comunicar com seu servidor C2 em vez de ICMP e mais de 170 endereços IP associados ao grupo desde o final de 2020.
Não está imediatamente claro como as redes de destino são violadas, embora o agente da ameaça seja conhecido por explorar aplicativos expostos à Internet para obter uma posição inicial e implantar uma versão modificada do shell da Web China Chopper para estabelecer persistência.
“O gálio continua sendo uma ameaça ativa às telecomunicações, finanças e organizações governamentais no Sudeste Asiático, Europa e África”, observaram os pesquisadores.
“Embora o uso do encapsulamento ICMP não seja uma técnica nova, o PingPull usa o ICMP para dificultar a detecção de suas comunicações C2, pois poucas organizações implementam a inspeção do tráfego ICMP em suas redes.”
Fonte: The Hacker News
Descubra mais sobre DCiber
Assine para receber os posts mais recentes por e-mail.
