Gon Malware
A julgar por sua funcionalidade, o Gon Malware foi determinado como uma ferramenta pós-exploração que dá aos agentes de ameaças que o implantaram um controle substancial sobre o sistema já comprometido. O Gon Malware foi observado como parte de ataques contra organizações do Kuwait que trabalham nas indústrias de navegação e transporte. A ferramenta faz parte de todo um conjunto de ameaças de malware desenvolvidas por este grupo específico de hackers. A maioria dos malwares personalizados recebeu nomes retirados de personagens da popular série de mangá e anime 'Hunter x Hunter', como Sakabota, Hisoka, Gon, Killua e Netero.
O Gon Malware geralmente é implantado depois que o computador de destino já foi infectado pela ferramenta Hisoka. Através do Gon Malware, os hackers podem descartar ou fazer upload de arquivos do dispositivo afetado, escanear portas abertas em sistemas remotos, fazer capturas de tela arbitrárias, descobrir outros sistemas conectados à mesma rede e executar comandos por meio de WMI ou PSEXEC. Eles também podem estabelecer conexões RDP (Remote Desktop Protocol) por meio do utilitário plink.
O Gon Malware pode ser controlado por meio de um utilitário de linha de comando ou de um aplicativo de desktop por meio de uma interface gráfica de usuário (GUI). Ao inserir o comando '-help' no utilitário de linha de comando, os hackers podem listar todas as ações ameaçadoras que podem ser realizadas pelo Gon Malware, sendo uma delas o 'self Distruct'. A GUI oferece a mesma funcionalidade, mas para iniciá-la, uma senha deve ser fornecida. Após inserir a senha '92', uma janela pop-up é gerada com uma imagem de Gon e Killua do anime 'Hunter x Hunter' como fundo. Um aspecto que diferencia a GUI da linha de comando é a inclusão de uma opção chamada 'Uso da Persona'. Quando ativada, esta opção desativa um recurso de mascaramento que oculta a GUI se o cursor do usuário for colocado fora da janela do malware por mais de 80 segundos. A GUI também permite que os hackers extraiam nomes de computadores, grupos e usuários de diretórios ativos por meio da ferramenta 'dsquery'.
