用于检测 Pingback C2 工具创建的 ICMP ping 隧道的 Zeek 包和 Suricata 规则。
配套博客文章：https://corelight.blog/2021/05/07/pingback-icmp-tunneling-malware/
安装此包最简单的方式是通过 zkg：
zkg install corelight/pingback
使用 这个示例 PCAP，并按照下面的步骤进行操作：
$ ls
Pingback_ICMP.pcapng
$ zeek -Cr Pingback_ICMP.pcapng pingback
$ cat notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-05-07-14-43-48
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] interval string string string double double
1619505583.332605 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping request message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=8, icode=0, len=788, ttl=64] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
1619505583.333021 CH7l4D48kbE3nWo7M7 192.168.38.131 8 192.168.38.172 0 - - - icmp Pingback::Pingback_Tunnel An ICMP ping reply message may have been Pingback C2 ref:trustwave.com/en-us/resources/blogs/spiderlabs-blog/backdoor-at-the-end-of-the-icmp-tunnel/ seq=53764 , |payload|=788 , icmp_info=[v6=F, itype=0, icode=0, len=788, ttl=128] , first 20 bytes of ICMP payload=shell\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00 192.168.38.131 192.168.38.172 0 - - Notice::ACTION_LOG 3600.000000 - - - - -
#close 2021-05-07-14-43-48
版权所有 (c) 2021, Corelight, Inc. 保留所有权利。
允许以源代码和二进制形式重新分发和使用，无论是否经过修改，前提是满足以下条件：
(1) 源代码的再分发必须保留上述版权声明、 此条件列表以及以下免责声明。
(2) 二进制形式的再分发必须在随分发提供的 文档和/或其他材料中复现上述版权声明、 此条件列表以及以下免责声明。
(3) 未经事先明确的书面许可，不得使用 Corelight 的名称或任何贡献者的名称 来认可或推广源自本软件的产品。
本软件由版权所有者和贡献者"按原样"提供，不提供任何明示或暗示的保证，包括但不限于对适销性和特定用途适用性的暗示保证。在任何情况下，版权所有者或贡献者均不对任何直接、间接、偶然、特殊、惩戒性或后果性损害承担责任（包括但不限于采购替代商品或服务；使用、数据或利润的损失；或业务中断），无论此类损害是如何引起的，也不论是基于何种责任理论（合同、严格责任或侵权（包括疏忽或其他）），即使已被告知发生此类损害的可能性。