corelight/pingbackUm pacote Zeek para detectar o tráfego de rede de comando e controle (C2) do túnel ICMP do malware Pingback.
Um pacote Zeek e regras Suricata para detecção de túneis de ping ICMP criados pela ferramenta Pingback C2.
Post de blog que acompanha: https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/
A maneira mais fácil de instalar este pacote é através do zkg:
zkg install corelight/pingback
Use este exemplo de PCAP e você pode acompanhar abaixo:
$ ls
Pingback_ICMP.pcapng
$ zeek -Cr Pingback_ICMP.pcapng pingback
$ cat notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-05-07-14-43-48
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] interval string string string double double
1619505583.332605 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping request message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=8, icode=0, len=788, ttl=64] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
1619505583.333021 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping reply message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=0, icode=0, len=788, ttl=128] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
#close 2021-05-07-14-43-48
Copyright (c) 2021, Corelight, Inc. Todos os direitos reservados.
A redistribuição e o uso em formas de código-fonte e binárias, com ou sem modificação, são permitidos desde que as seguintes condições sejam atendidas:
(1) As redistribuições do código-fonte devem manter o aviso de direitos autorais acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir.
(2) As redistribuições em formato binário devem reproduzir o aviso de direitos autorais acima, esta lista de condições e o aviso de isenção de responsabilidade a seguir na documentação e/ou em outros materiais fornecidos com a distribuição.
(3) Nem o nome da Corelight nem os nomes de quaisquer contribuidores podem ser usados para endossar ou promover produtos derivados deste software sem autorização prévia específica por escrito.
ESTE SOFTWARE É FORNECIDO PELOS DETENTORES DE DIREITOS AUTORAIS E CONTRIBUIDORES "NO ESTADO EM QUE SE ENCONTRA" E QUAISQUER GARANTIAS EXPRESSAS OU IMPLÍCITAS, INCLUINDO, MAS NÃO LIMITADO ÀS GARANTIAS IMPLÍCITAS DE COMERCIALIZAÇÃO E ADEQUAÇÃO A UM FIM ESPECÍFICO SÃO REJEITADAS. EM NENHUM CASO O DETENTOR DOS DIREITOS AUTORAIS OU OS CONTRIBUIDORES SERÃO RESPONSÁVEIS POR QUAISQUER DANOS DIRETOS, INDIRETOS, INCIDENTAIS, ESPECIAIS, EXEMPLARES OU CONSEQUENTES (INCLUINDO, MAS NÃO LIMITADO À AQUISIÇÃO DE BENS OU SERVIÇOS SUBSTITUTOS; PERDA DE USO, DADOS OU LUCROS; OU INTERRUPÇÃO DE NEGÓCIOS) SEJA QUAL FOR A CAUSA E SOB QUALQUER TEORIA DE RESPONSABILIDADE, SEJA EM CONTRATO, RESPONSABILIDADE ESTRITA OU ATO ILÍCITO (INCLUINDO NEGLIGÊNCIA OU DE OUTRA FORMA) DECORRENTE DE QUALQUER FORMA DO USO DESTE SOFTWARE, MESMO SE AVISADO DA POSSIBILIDADE DE TAIS DANOS.