SLEEPWALKER е наскоро идентифицирана задна врата (backdoor) за Windows, създадена да чака, вместо самостоятелно да се свързва с контролен сървър. След като бъде поставена на компрометирано устройство, тя може да остане неактивна за продължителен период от време и да отговори едва когато атакуващият изпрати внимателно формулиран мрежов пакет.

Тази сдържаност прави заплахата трудна за откриване с инструменти, които търсят многократни или регулярни връзки към команден сървър.

Зловредният софтуер е проектиран да бъде зареден заедно с легитимен компонент за управление на сигурността, което дава на злонамерения код доверено място за изпълнение. Анализаторите от PolySwarm идентифицираха зловредния софтуер и го наименуваха SLEEPWALKER.

В доклад, споделен с Cyber Security News (CSN), от PolySwarm посочват, че според техния анализ за анализираната мостра няма идентифициран автор на заплахата (threat actor), жертва, кампания, верига на доставяне или потвърдена история на използване при реално проникване.

Въпреки това констатацията е от значение за специалистите по корпоративна защита. Задна врата, която избягва рутинното изпращане на сигнали (beaconing), намалява следите за екипите за мрежови мониторинг и същевременно осигурява на атакуващия гъвкав достъп след получаване на тайния сигнал.

Нова задна врата за Windows остава напълно тиха

Зловредният модул започва с проверка дали се изпълнява в рамките на очаквания процес на агента за управление. Той представлява неподписана 64-битова библиотека за Windows, която имитира легитимен поддържащ компонент и е предназначена за стартиране чрез DLL side-loading — техника, използвана и в случая с C2Looper за избягване на откриването чрез скриване на враждебен код зад познат софтуер.

Записаната конфигурация е съвсем минималистична. Вместо твърдо кодиран команден сървър, тя инструктира зловредния софтуер да постави наличните интерфейси в смесен режим (promiscuous mode) и неограничено да следи за трафик, съответстващ на дефиниран криптиран формат на пакета.

Валидният пакет преминава проверки за фрейминг и CRC-32 валидация, преди задачите в него да бъдат декриптирани с AES-256-CCM. След това зловредният софтуер предава резултата на собствения си команден интерпретатор, което позволява на атакуващия да възлага задачи, без да генерира редовен изходящ сигнал, очакван от повечето инструменти за отдалечен достъп.

Този пасивен дизайн оставя легитимния трафик на агента за управление да изглежда нормален, докато зловредният код чака. Тайният сигнал все пак трябва да достигне до наблюдавания интерфейс, което подсказва, че атакуващият трябва да има позиция в, през или близо до мрежата на жертвата.

Това изискване може да ограничи използването му срещу изолирани крайни устройства, но не прави зловредния софтуер безвреден: инструкциите, получени след активиране, могат да уредят компрометирания хост да създаде нови маршрути за контрол от страна на атакуващия.

Изследователите са възстановили ключ за криптиране от анализираната библиотека, но декриптираното съдържание не представлява текст с инструкции на обикновен език. То използва собствена байткод структура, което създава още едно препятствие за анализаторите, опитващи се да определят какво точно е поискал атакуващият от заразеното устройство.

Гъвкавият достъп повишава изискванията към откриването

SLEEPWALKER поддържа 23 байткод инструкции за планиране, повторни задачи, допълнителни слушащи портове (listeners), компресиран злонамерен код (payloads), локални файлове със задачи и директно изпълнение на shellcode в паметта.

Той също така поддържа комуникации през TCP, UDP, ICMP, Windows named pipes, базирани на DNS задачи и VMware VMCI. Тези опции трябва да се разглеждат като възможни функционалности, а не като потвърдена активност.

Анализираната конфигурация активира само слушателя за сурови пакети (raw-packet listener); задействането през DNS, страничното придвижване (lateral movement), комуникациите с виртуални машини и поетапното доставяне са имплементирани в кода, но няма данни да са били използвани при реална атака. Зловредният софтуер може също така да коригира настройките на Windows, за да позволи анонимен достъп до своя named-pipe канал.

Това поведение предоставя на защитниците полезна следа за откриване, наред с неочакваното зареждане на библиотеки от папки на агенти за управление и съмнителни канали (pipes), подобно на разследването на PipeMagic named pipe, което подчерта стойността на проследяването на необичайни локални комуникационни пътища.

Екипите по сигурност трябва да проверяват валидността на подписите и хешовете на библиотеките, да сравняват анонимните настройки за SMB и named-pipe с одобрените базови линии и да разследват доверени процеси, зареждащи непотвърдени съседни файлове.

Тези проверки са от изключително значение, тъй като репутацията на файловете и списъците за блокиране самостоятелно могат да разкрият малко, когато липсва фиксирана командна инфраструктура.

Поради това мониторингът, ориентиран към поведението, е от ключово значение. Екипите трябва да съпоставят стартирането на процеси, необичайните зареждания на библиотеки, промените в конфигурациите за сигурност, данните от прихванати пакети и активността в паметта, вместо да разглеждат единични сигнали като окончателни — подход, подкрепен и от доклада за изпълнение в паметта Mistic.

За екипите за реагиране при инциденти практическият извод е своевременно да запазват нестабилните доказателства (volatile evidence) в паметта и да изследват как е бил стартиран даден подозрителен процес.

SLEEPWALKER показва как един атакуващ може да раздели първоначалното компрометиране от последващия контрол, да остане тих между действията си и да превърне позната програма в част от стратегията си за прикриване.

Индикатори за компрометиране (IoCs):

Забележка: IP адресите и домейните са нарочно дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или отваряне на връзки. Активирайте ги отново само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.