corelight/pingbackحزمة Zeek للكشف عن حركة مرور الشبكة الخاصة بنفق ICMP والقيادة والتحكم (C2) لبرنامج Pingback الخبيث.
حزمة Zeek وقواعد Suricata لكشف أنفاق ICMP ping التي تُنشئها أداة Pingback C2.
التدوينة المصاحبة: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/
أسهل طريقة لتثبيت هذه الحزمة هي عبر zkg:
zkg install corelight/pingback
استخدم مثال PCAP هذا ويمكنك المتابعة أدناه:
$ ls
Pingback_ICMP.pcapng
$ zeek -Cr Pingback_ICMP.pcapng pingback
$ cat notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-05-07-14-43-48
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] interval string string string double double
1619505583.332605 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping request message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=8, icode=0, len=788, ttl=64] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
1619505583.333021 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping reply message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=0, icode=0, len=788, ttl=128] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
#close 2021-05-07-14-43-48
حقوق النشر (c) 2021، Corelight, Inc. جميع الحقوق محفوظة.
يُسمح بإعادة التوزيع والاستخدام في أشكال المصدر والثنائية، مع أو بدون تعديل، بشرط استيفاء الشروط التالية:
(1) يجب أن تحتفظ إعادة توزيع الكود المصدري بإشعار حقوق النشر أعلاه، وقائمة الشروط هذه وإخلاء المسؤولية التالي.
(2) يجب أن تعيد إعادة التوزيع في الشكل الثنائي إنتاج إشعار حقوق النشر أعلاه، وقائمة الشروط هذه وإخلاء المسؤولية التالي في الوثائق و/أو المواد الأخرى المرفقة مع التوزيع.
(3) لا يجوز استخدام اسم Corelight أو أسماء أي مساهمين لتأييد أو الترويج لمنتجات مشتقة من هذا البرنامج دون الحصول على إذن كتابي مسبق محدد.
يُقدَّم هذا البرنامج من قبل أصحاب حقوق النشر والمساهمين "كما هو" (AS IS)، وتُخلَى المسؤولية عن أي ضمانات صريحة أو ضمنية، بما في ذلك على سبيل المثال لا الحصر، الضمانات الضمنية للتسويق والملاءمة لغرض معين. لا يكون مالك حقوق النشر أو المساهمون مسؤولين بأي حال عن أي أضرار مباشرة أو غير مباشرة أو عرضية أو خاصة أو نموذجية أو تبعية (بما في ذلك على سبيل المثال لا الحصر، توفير سلع أو خدمات بديلة؛ أو فقدان الاستخدام أو البيانات أو الأرباح؛ أو انقطاع الأعمال) مهما كان سببها، وتحت أي نظرية مسؤولية، سواء في العقد أو المسؤولية الصارمة أو الضرر (بما في ذلك الإهمال أو غيره) الناشئة بأي طريقة عن استخدام هذا البرنامج، حتى لو تم إخطارهم باحتمالية حدوث مثل هذا الضرر.