Pingback C2 डिटेक्शन

Pingback C2 टूल द्वारा बनाई गई ICMP पिंग टनल की डिटेक्शन के लिए एक Zeek पैकेज और Suricata नियम।
साथ में ब्लॉग पोस्ट: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/

स्थापना

इस पैकेज को स्थापित करने का सबसे आसान तरीका zkg के माध्यम से है:

zkg install corelight/pingback

उपयोग

इस उदाहरण PCAP का उपयोग करें और नीचे दिए गए निर्देशों का पालन करें:

$ ls
Pingback_ICMP.pcapng

$ zeek -Cr Pingback_ICMP.pcapng pingback

$ cat notice.log 
#separator \x09
#set_separator	,
#empty_field	(empty)
#unset_field	-
#path	notice
#open	2021-05-07-14-43-48
#fields	ts	uid	id.orig_h	id.orig_p	id.resp_h	id.resp_p	fuid	file_mime_type	file_desc	proto	note	msg	sub	src	dst	p	n	peer_descr	actions	suppress_for	remote_location.country_code	remote_location.region	remote_location.city	remote_location.latitude	remote_location.longitude
#types	time	string	addr	port	addr	port	string	string	string	enum	enum	string	string	addr	addr	port	count	string	set[enum]	interval	string	string	string	double	double
1619505583.332605	CH7l4D48kbE3nWo7M7	192.168.38.131	8	192.168.38.172	0	-	-	-	icmp	Pingback::Pingback_Tunnel	An ICMP ping request message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/	seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=8, icode=0, len=788, ttl=64] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00	192.168.38.131	192.168.38.172	0	-	-	Notice::ACTION_LOG	3600.000000	-	-	-	-	-
1619505583.333021	CH7l4D48kbE3nWo7M7	192.168.38.131	8	192.168.38.172	0	-	-	-	icmp	Pingback::Pingback_Tunnel	An ICMP ping reply message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/	seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=0, icode=0, len=788, ttl=128] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00	192.168.38.131	192.168.38.172	0	-	-	Notice::ACTION_LOG	3600.000000	-	-	-	-	-
#close	2021-05-07-14-43-48

अतिरिक्त संदर्भ

• https://www.bleepingcomputer.com/news/security/new-windows-pingback-malware-uses-icmp-for-covert-communication/
• https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/
• https://github.com/SpiderLabs/pingback
• https://www.virustotal.com/gui/file/e50943d9f361830502dcfdb00971cbee76877aa73665245427d817047523667f/detection

लाइसेंस

कॉपीराइट (c) 2021, Corelight, Inc. सर्वाधिकार सुरक्षित।

स्रोत और बाइनरी रूपों में पुनर्वितरण और उपयोग, संशोधन के साथ या बिना संशोधन के, अनुमत है बशर्ते निम्नलिखित शर्तें पूरी हों:

(1) स्रोत कोड के पुनर्वितरण में उपरोक्त कॉपीराइट सूचना, शर्तों की इस सूची और निम्नलिखित अस्वीकरण को बरकरार रखा जाना चाहिए।

(2) बाइनरी रूप में पुनर्वितरण को उपरोक्त कॉपीराइट सूचना, शर्तों की इस सूची और निम्नलिखित अस्वीकरण को वितरण के साथ दिए गए दस्तावेज़ और/या अन्य सामग्री में पुन: प्रस्तुत करना होगा।

(3) Corelight के नाम या किसी भी योगदानकर्ता के नाम का उपयोग, इस सॉफ़्टवेयर से व्युत्पन्न उत्पादों के समर्थन या प्रचार के लिए, विशिष्ट पूर्व लिखित अनुमति के बिना नहीं किया जा सकता।

यह सॉफ़्टवेयर कॉपीराइट धारकों और योगदानकर्ताओं द्वारा "जैसा है वैसा" और किसी भी व्यक्त या निहित वारंटी, जिनमें शामिल हैं, लेकिन इन्हीं तक सीमित नहीं, व्यापारिकता और किसी विशेष उद्देश्य के लिए उपयुक्तता की निहित वारंटी अस्वीकृत की जाती हैं। किसी भी स्थिति में कॉपीराइट स्वामी या योगदानकर्ता किसी भी प्रत्यक्ष, अप्रत्यक्ष, आकस्मिक, विशेष, अनुकरणीय, या परिणामी क्षति (जिसमें शामिल हैं, लेकिन इन्हीं तक सीमित नहीं: वैकल्पिक वस्तुओं या सेवाओं की खरीद; उपयोग, डेटा, या लाभ की हानि; या व्यावसायिक रुकावट) के लिए उत्तरदायी नहीं होंगे, चाहे वह किसी भी कारण से उत्पन्न हुई हों और देयता के किसी भी सिद्धांत पर, चाहे अनुबंध में, कठोर दायित्व, या अपकृत्य (लापरवाही सहित या अन्यथा) इस सॉफ़्टवेयर के उपयोग से किसी भी तरह से उत्पन्न हों, भले ही ऐसी क्षति की संभावना के बारे में सलाह दी गई हो।