תוכנת זדונית PingPull

קבוצת Gallim APT (Advanced Persistent Threat) ניהלה קמפיין תקיפה המכוון למוסדות פיננסיים וגופים ממשלתיים במספר יבשות. ליתר דיוק, המבצע האחרון הזה של קבוצת ההאקרים, שכנראה בחסות סינית, מופעל נגד מטרות ברוסיה, בלגיה, וייטנאם, קמבודיה, אוסטרליה, הפיליפינים, מלזיה ואפגניסטן. יתרה מזאת, על פי חוקרי אבטחת הסייבר ב-Unit42 של Palo Alto Network, שחקן האיום פרס RAT חדש (Trojan Access Remote Trojan) חמקני במיוחד, שנקרא 'PingPull'.

איום PingPull נועד לחדור למכשירים הממוקדים ולאחר מכן ליצור מעטפת הפוכה עליהם. לאחר מכן, לתוקפים תהיה את היכולת לבצע מרחוק פקודות שרירותיות. הדוח של Unit42 חושף ששלוש גרסאות נפרדות של PingPull זוהו. ההבדל העיקרי ביניהם הוא פרוטוקול התקשורת המנוצל - ICMP, HTTPS או TCP. סביר להניח שההאקרים של Gallium בוחרים בגרסה שתספק להם את הסיכויים הטובים ביותר להתחמק משיטות זיהוי רשת ספציפיות או מכלי אבטחה על סמך מידע שנרכש בעבר על היעד.

כל שלוש הגרסאות קיימות במכונות שחדרו כשירות שיש לו תיאור המחקה את זה של שירות לגיטימי. הפקודות המוכרות על ידי הגרסאות הן גם זהות. הם נעים בין מניפולציה של מערכת הקבצים, הפעלת פקודות באמצעות cmd.exe, ספירת נפחי האחסון, היכולת לעצור קבצים בזמן, ושליחת נתונים לשרת Command-and-Control (C2, C&C) של הפעולה. התעבורה הנכנסת מה-C2 מוצפנת באלגוריתם ההצפנה AES. כדי לפענח את הפקודות והפרמטרים שלהן, למשואה יש זוג מפתחות מקודדים.