Un ricercatore indipendente ha scoperto SLEEPWALKER, un sofisticato backdoor per Windows che resta silente fino all'arrivo di un pacchetto di rete appositamente creato, eseguendo poi comandi in un linguaggio proprietario. Il malware sfrutta il side-loading su ERAAgent.exe di ESET e non lascia tracce di comunicazioni esterne, rendendo difficile la rilevazione.
Un ricercatore indipendente ha identificato SLEEPWALKER, un nuovo backdoor per Windows mai segnalato prima, progettato per restare inattivo in memoria fino a quando non riceve un pacchetto di rete specificamente costruito. Solo allora esegue comandi scritti in un linguaggio proprietario composto da 23 istruzioni. Il campione analizzato è una DLL Windows a 64 bit non firmata, di 59.904 byte, pensata per essere caricata tramite side-loading nel processo ERAAgent.exe, componente dell'ESET Management Agent.
SLEEPWALKER si spaccia per la libreria dpapi.dll di Microsoft, esportando le stesse sette funzioni di protezione dati e replicando la versione del file di ESET. Non contiene domini, IP o URL hardcoded e non stabilisce connessioni in uscita, così un host infetto può apparire pulito agli strumenti che monitorano traffico verso infrastrutture note come malevole. I comandi arrivano come bytecode, non in testo leggibile, e la chiave di cifratura recuperata restituisce solo opcodes comprensibili esclusivamente dal file stesso.
Funzionamento e tecniche di evasione
Secondo Dominik Reichel, ex ricercatore di Palo Alto Networks Unit 42, l'approccio di SLEEPWALKER suggerisce un'operazione mirata e ben finanziata, non un attacco opportunistico. L'analisi si basa su un singolo campione senza contesto di raccolta: non è stato possibile attribuire il malware a un attore noto, né identificare vittime, settori o paesi colpiti, né confermare un impiego reale.
La configurazione interna si decifra tramite AES-256-CCM e contiene un'unica istruzione che ordina al backdoor di monitorare indefinitamente tutte le interfacce di rete in attesa del pacchetto trigger. Il listener intercetta tutto il traffico sulle interfacce, anche quello destinato ad altri dispositivi: su gateway, server VPN o host che collegano più segmenti, il trigger può essere captato anche se indirizzato altrove.
Persistenza, indicatori e rischi per le aziende
SLEEPWALKER verifica solo il nome del processo host, non la firma o il percorso. Scrivere la DLL nella directory richiede privilegi di amministratore locale già acquisiti dall'operatore: il backdoor è quindi un impianto post-compromissione, non un vettore di accesso iniziale. Il side-loading è l'unico meccanismo di persistenza: la DLL viene ricaricata a ogni avvio del servizio ESET Management Agent. La tecnica sfrutta l'ordine di ricerca delle DLL di Windows, non una vulnerabilità di ESET, quindi non esiste una patch specifica; la risposta a una compromissione è la bonifica e il ripristino del sistema.
ESET è già stata sfruttata in passato per side-loading, come nel caso ToddyCat, ma al 26 agosto non ha rilasciato comunicati o advisory su SLEEPWALKER. Il malware offre 23 istruzioni per schedulazione, movimentazione dati, consegna file verificata tramite hash SHA-256 ed esecuzione in memoria, utilizzando sei canali di trasporto: TCP, UDP, ICMP, named pipe SMB con movimento laterale autenticato, cattura raw in modalità promiscua e VMware VMCI. Quest'ultimo consente comunicazioni tra host e VM che sfuggono ai normali strumenti di packet capture.
Indicatori di compromissione e strumenti di rilevamento
Nessuna istruzione scrive su disco: eventuali file necessari devono essere depositati da altri componenti. Due istruzioni monitorano il trigger: nel campione analizzato è attivo solo il listener raw-packet, ma esiste anche un trigger DNS non abilitato in questa build. Per consentire l'accesso anonimo al canale named pipe, SLEEPWALKER modifica i valori EveryoneIncludesAnonymous e NullSessionPipes nel registro di sistema, rischiando di eliminare voci legittime durante la pulizia.
Gli indicatori pubblicati da Reichel includono: presenza inattesa di dpapi.dll e dpapisvc.dll accanto a ERAAgent.exe, SHA-256 d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60, MD5 2318327b29bb1c0e2d2b5f0211fc7fac, EveryoneIncludesAnonymous impostato a 1 e voci anomale in NullSessionPipes. Questi valori sono significativi solo rispetto a una baseline nota. Sono disponibili una regola YARA e uno scanner PowerShell in sola lettura per la ricerca degli indicatori, ma la copertura di rilevamento era bassa al momento della pubblicazione. La regola YARA si basa anche su una chiave AES statica e codice protocollo compilato, quindi un rebuild potrebbe eluderla.
Contesto e precedenti simili
Non risultano toolkit o guide di mitigazione pubblici al 26 agosto. Reichel invita chi sospetta di essere stato colpito a contattarlo direttamente. Backdoor attivate da pacchetti "magici" sono già emerse su Linux, come BPFDoor usato da Red Menshen nelle reti di operatori telecom, secondo Rapid7.
