به گزارش کارگروه حملات سایبری سایبربان؛ گروه هکری چینی Gallium (گالیوم) ظاهرا با استفاده از یک RAT جدید به نام PingPull موسسات مالی و نهادهای دولتی مستقر در اروپا، جنوب شرق آسیا و آفریقا را هدف قرار داده است.
این نهادها در کشورهای استرالیا، روسیه، فیلیپین، بلژیک، ویتنام، مالزی، کامبوج و افغانستان مستقر در هستند.
محققین بر این باورند که گالیوم در راستای منافع کشور چین، بخش های دولتی، مالی و مخابراتی را در عملیات های جاسوسی خود مورد هدف قرار می دهد.
گالیوم در کمپین های اخیر خود از تروجان دسترسی راه دور جدیدی به نام PingPull (پینگ پول) استفاده کرده است که تحلیلگران واحد 42 پالو آلتو آن را مرموز توصیف کردند.
بدافزار پینگ پول به شکلی طراحی شده است که با دادن شِل معکوس به بازیگران مخرب، مجوز اجرای راه دور فرمان بر روی دستگاه آسیب پذیر را صادر می کند.
محققین واحد 42 سه نمونه متمایز از این بدافزار را شناسایی کنند که با وجود کارکردهای مشابه، از پروتکل های ارتباطی متفاوتی استفاده می کنند. (ICMP، HTTPS و TCP)
هر سه نوع این بدافزار خود را به عنوان یک سرویس نصب می کنند که این موضوع می تواند کاربران را از نابودی این سرویس ها منصرف کند.
فرمان هایی که هر سه نوع این بدافزار پشتیبانی می کنند، عبارتند از:
- محاسبه فضای ذخیره سازی
- لیست کردن محتوای فایل
- خواندن فایل
- نوشتن فایل
- حذف فایل
- خواندن فایل و تبدیل آن به شکل هگزادسیمال (سامانه عدد نویسی بر مبنای ۱۶)
- نوشتن فایل و تبدیل آن به شکل هگزادسیمال
- کپی فایل، آماده سازی برای ساخت، نوشتن و زمان دسترسی برای مطابقت با فایل های اصلی
- انتقال فایل، آماده سازی برای ساخت، نوشتن و زمان دسترسی برای مطابقت با فایل های اصلی
- ایجاد دایرکتوری
- فایل تایم استمپ
- اجرای فرمان از طریق cmd.exe
فرمان ها و پارامترهای آن ها به شکل رمزنگاری شده AES از سرور کنترل و فرمان ارسال می شوند.
