SLEEPWALKER: backdoor dla Windows bez C2

SLEEPWALKER: backdoor, który czeka na jeden pakiet

SLEEPWALKER to nowa backdoor dla Windows, zaprojektowana tak, by pozostawać całkowicie bierna aż do chwili otrzymania jednego, specjalnie przygotowanego pakietu sieciowego. Nie wykonuje klasycznego „beaconingu”, nie utrzymuje stałego kanału komunikacji i nie zdradza się stałym ruchem do serwera C2.

Zamiast tego działa jak uśpiony implant: aktywizuje się dopiero po odebraniu spreparowanego pakietu, a następnie rozpakowuje i uruchamia własny bytecode. To rozwiązanie ma ograniczać ślady w sieci i utrudniać wykrycie przez standardowe narzędzia monitorujące.

Własny język poleceń i działanie w pamięci

To, co wyróżnia SLEEPWALKER, to sposób interpretowania komend. Zamiast prostych poleceń tekstowych malware używa własnego języka bytecode opartego na 23 instrukcjach. Taki mini-język pozwala m.in.:

łączyć kolejne zadania,
przenosić dane,
odbierać dodatkowe etapy ataku,
wykonywać kod bezpośrednio w pamięci.

W praktyce oznacza to, że logika ataku jest mocniej ukryta, a analiza ruchu sieciowego staje się trudniejsza, bo do momentu aktywacji nie widać typowego wzorca komunikacji malware.

Podszywanie się pod komponent Windows i ESET

Analizowana próbka jest przygotowana jako 64-bitowa biblioteka DLL, która podszywa się pod dpapi.dll. Eksportuje przy tym siedem funkcji zgodnych z oczekiwaniami wobec tej nazwy i fałszuje metadane wersji, by wyglądać na legalny plik systemowy.

Co więcej, backdoor próbuje zostać załadowany przez DLL side-loading w procesie ERAAgent.exe, czyli pliku wykonywalnym ESET Management Agent używanego w rozwiązaniach ESET PROTECT i ESET PROTECT On-Prem. Malware aktywuje się tylko wtedy, gdy działa w oczekiwanym procesie-hostcie.

Szyfrowanie konfiguracji i nasłuch sieciowy

Wewnętrzna konfiguracja SLEEPWALKER jest zabezpieczona przy użyciu AES-256-CCM. W opisanym wariancie sprowadzała się do jednej instrukcji startowej, która nakazywała bezterminowe monitorowanie interfejsów sieciowych.

Od tego momentu implant może:

analizować ruch w trybie promiscuous,
oceniać pakiety na poziomie surowej zawartości,
ukrywać wyzwalacz w pozornie zwykłym ruchu IP.

Dodatkowo przewidziano alternatywny kanał uruchamiania przez zapytania DNS, choć w badanej próbce nie był aktywny.

Różne kanały komunikacji i ryzyko zmian w rejestrze

SLEEPWALKER obsługuje kilka metod transportu danych i zadań, w tym:

TCP,
UDP,
ICMP,
SMB named pipes,
VMCI od VMware, czyli kanał między gościem a hostem.

W przypadku SMB named pipes malware może też modyfikować wartości rejestru Windows, takie jak EveryoneIncludesAnonymous oraz NullSessionPipes, aby ułatwić dostęp bez uwierzytelnienia. Tego typu zmiany wymagają jednak lokalnych uprawnień administratora i sam kod nie potwierdza tu żadnej metody eskalacji uprawnień.

Na razie bez przypisanych ofiar

W dostępnych analizach nie wskazano konkretnych ofiar, sektorów, krajów ani infrastruktury powiązanej z kampanią. Opis opiera się na jednej próbce, bez telemetrii łączącej ją z potwierdzonym incydentem.

Mimo to sposób działania sugeruje operację przygotowaną pod ataki celowane. Backdoor:

minimalizuje ślad sieciowy,
nie zależy od stałego serwera C2,
może czekać na dogodny moment aktywacji,
wykonuje ładunki bezpośrednio w pamięci.

Na co zwrócić uwagę w firmowej sieci

Dla administratorów i zespołów SOC najważniejsze są teraz szybkie kontrole środowiska, zwłaszcza tam, gdzie działa ESET Management Agent. Warto sprawdzić, czy w tym samym katalogu co ERAAgent.exe nie pojawiła się podejrzana dpapi.dll.

Zwrócić uwagę należy również na obecność dpapisvc.dll obok tego procesu — to nazwa, która nie pasuje do standardowych elementów systemu Windows opisanych w analizie.

Przydatne działania obronne obejmują:

audyt plików w katalogach aplikacji,
ograniczenie możliwości DLL side-loading,
kontrolę integralności plików,
monitorowanie zmian w rejestrze,
wykrywanie przełączenia interfejsów w tryb promiscuous,
obserwację nietypowego ruchu wewnętrznego, szczególnie east-west traffic.

Reakcja powinna być traktowana jak incydent

Jeśli pojawi się choćby jeden podejrzany artefakt, warto założyć, że mamy do czynienia z incydentem o nieznanym zasięgu. SLEEPWALKER został zaprojektowany do działania w pamięci i do uruchamiania zadań etapami, więc sama blokada pliku może nie wystarczyć.

Potrzebne są:

analiza forensyczna hostów,
przegląd uprawnień w katalogach komponentów agenta,
porównanie ustawień rejestru z bazową konfiguracją,
sprawdzenie telemetrii ładowania modułów i zmian sieciowych.

W przypadku takiego malware właśnie wcześniejsze wychwycenie pierwszego wyzwalacza może zdecydować o tym, czy atak zostanie zatrzymany, zanim zdąży rozwinąć się dalej.