Gon Malware
À en juger par sa fonctionnalité, le Gon Malware était déterminé à être un outil de post-exploitation qui donne aux acteurs de la menace qui l'ont déployé un contrôle substantiel sur le système déjà compromis. Le Gon Malware a été observé dans le cadre d'attaques contre des organisations koweïtiennes travaillant dans les secteurs de la navigation et des transports. L'outil fait partie de tout un ensemble de menaces de logiciels malveillants développées par ce groupe de pirates informatiques particulier. La plupart des logiciels malveillants sur mesure ont reçu des noms tirés de personnages de la populaire série manga et anime Hunter x Hunter tels que Sakabota, Hisoka, Gon, Killua et Netero.
Le Malware Gon est généralement déployé après que l'ordinateur ciblé a déjà été infecté par l' outil Hisoka. Grâce au Malware Gon, les pirates peuvent déposer ou télécharger des fichiers à partir de l'appareil affecté, rechercher des ports ouverts sur des systèmes distants, prendre des captures d'écran arbitraires, découvrir d'autres systèmes connectés au même réseau et exécuter des commandes via WMI ou PSEXEC. Ils peuvent également établir des connexions RDP (Remote Desktop Protocol) via l'utilitaire plink.
Le Gon Malware peut être contrôlé via un utilitaire de ligne de commande ou une application de bureau via une interface utilisateur graphique (GUI). En entrant la commande «-help» dans l'utilitaire de ligne de commande, les pirates peuvent répertorier toutes les actions menaçantes qui peuvent être effectuées par le Malware Gon, l'une d'entre elles étant «Self Distruct». To GUI offre la même fonctionnalité, mais pour l'initier, un mot de passe doit être fourni. Après avoir entré le '92' comme mot de passe, une fenêtre contextuelle est générée avec une image de Gon et Killua de l'anime 'Hunter x Hunter' en arrière-plan. Un aspect qui distingue l'interface graphique de la ligne de commande est l'inclusion d'une option appelée «Utilisation de la personne». Lorsqu'elle est activée, cette option désactive une fonction de masquage qui masque l'interface graphique si le curseur de l'utilisateur est placé en dehors de la fenêtre du logiciel malveillant pendant plus de 80 secondes. L'interface graphique permet également aux pirates de récupérer les noms d'ordinateurs, de groupes et d'utilisateurs des répertoires actifs via l'outil «dsquery».
