Gon Malware
A juzgar por su funcionalidad, se determinó que Gon Malware era una herramienta posterior a la explotación que brinda a los actores de amenazas que lo implementaron un control sustancial sobre el sistema ya comprometido. El Gon Malware se observó como parte de los ataques contra las organizaciones de Kuwait que trabajan en las industrias de transporte y envío. La herramienta es parte de un conjunto completo de amenazas de malware desarrolladas por este grupo de hackers en particular. La mayoría del malware personalizado recibió nombres tomados de personajes de la popular serie de manga y anime 'Hunter x Hunter', como Sakabota, Hisoka, Gon, Killua y Netero.
El Gon Malware generalmente se implementa después de que la computadora de destino ya haya sido infectada con la herramienta Hisoka. A través del Gon Malware, los piratas informáticos pueden soltar o cargar archivos desde el dispositivo afectado, buscar puertos abiertos en sistemas remotos, tomar capturas de pantalla arbitrarias, descubrir otros sistemas conectados a la misma red y ejecutar comandos a través de WMI o PSEXEC. También pueden establecer conexiones de Protocolo de escritorio remoto (RDP) a través de la utilidad plink.
Gon Malware se puede controlar mediante una utilidad de línea de comandos o una aplicación de escritorio a través de una interfaz gráfica de usuario (GUI). Al ingresar el comando '-help' en la utilidad de línea de comandos, los piratas informáticos pueden enumerar todas las acciones amenazantes que puede realizar Gon Malware, una de las cuales es 'autodestrucción'. La GUI ofrece la misma funcionalidad, pero para iniciarla, se debe proporcionar una contraseña. Después de ingresar el '92' como contraseña, se genera una ventana emergente con una imagen de Gon y Killua del anime 'Hunter x Hunter' como fondo. Un aspecto que distingue a la GUI de la línea de comandos es la inclusión de una opción llamada 'Uso de persona'. Cuando está habilitada, esta opción deshabilita una función de enmascaramiento que oculta la GUI si el cursor del usuario se coloca fuera de la ventana del malware durante más de 80 segundos. La GUI también permite a los piratas informáticos extraer nombres de equipos, grupos y usuarios de los directorios activos mediante la herramienta 'dsquery'.
