5 байта с инструкции се намират в задна вратичка (backdoor), която нито веднъж не е осъществила изходяща връзка. Тя анализира преминаващия по мрежовия кабел трафик и чака. Агентът за сигурност, в който е скрита, я зарежда отново при всяко рестартиране.

Доминик Райхел (Dominik Reichel), който преди е анализирал зловреден код в Palo Alto Unit 42, публикува анализа на 24 август. Той я нарича SLEEPWALKER („Сомнамбул“), защото прави точно това – остава в паметта и не прави нищо, докато един конкретен пакет не премине по мрежовия кабел. Тогава тя се събужда и изпълнява каквото и да е наредено от подателя.

Задните вратички, за които сте чели обикновено, работят по обратния начин. Когато попаднат на дадена машина, в рамките на броени минути те се свързват със сървър, за да поискат инструкции. Точно тази изходяща връзка е това, което инструментите за сигурност са проектирани да засичат – блокиране на домейна, отбелязване на IP адреса, следене за комуникация с неизвестни адреси. По този начин обикновено се открива подобен злонамерен код.

Тази задна вратичка обаче няма такава инфраструктура. Във файла няма нито един домейн, адрес или URL и той не отваря собствена връзка. Черен списък няма какво да блокира, а мрежовият монитор не вижда нищо подозрително. Напълно компрометирана машина остава във вашата мрежа, без да генерира нито една подозрителна връзка.

Всичко това се побира в един файл от 59 904 байта. Програмите за Windows не съдържат целия си код на едно място – те зареждат по-малки файлове с код (DLL) и ги изпълняват като част от себе си. Ако поставите файл с подходящото име в папка, която програмата проверява преди системните папки, тя може да зареди вашия файл вместо оригиналния. Този файл носи името dpapi.dll (име на оригинален Microsoft файл) и съдържа фалшифицирана информация за ESET (име на компания, версия и авторски права), за да изглежда автентичен.

Преди да направи каквото и да е, той проверява името на програмата, която го е заредила. Ако името не е ERAAgent.exe, той остава неактивен. Тази проверка го държи скрит в среди за анализ – ако го пуснете в изолирана среда (sandbox) или дебъгер, той не прави нищо.

Вместо да прави изходящи повиквания, той слуша трафика. Задната вратичка поставя мрежовата карта в т.нар. смесен режим (promiscuous mode) – същият режим, който се използва от инструментите за прихващане на пакети. Така SLEEPWALKER следи целия мрежов трафик и чака своя задействащ пакет (trigger).

Конфигурацията, съхранена във файла, е точно 5 байта: инструкция да следи мрежата за задействащ код на всички интерфейси за неограничено време. Всеки пакет се проверява по модел от 6 стъпки (размер, XOR аритметика, контролна сума CRC-32 и др.), преди да бъде изпълнен инжектираният код.