SLEEPWALKER koristi skriveni mrežni okidač u Windows okruženju
Nezavisni istraživač Dominik Reichel dokumentovao je dosad neprijavljena Windows zadnja vrata nazvana SLEEPWALKER: nepotpisani 64-bitni DLL veličine 59.904 bajta čeka posebno oblikovan mrežni paket, a zatim izvršava komande zapisane u sopstvenom jeziku sa 23 instrukcije. Analizirani uzorak predviđen je za bočno učitavanje uz ERAAgent.exe, izvršnu datoteku ESET Management Agent-a.
DLL se predstavlja kao Microsoft-ov dpapi.dll, izvozi istih sedam funkcija za zaštitu podataka kao legitimna sistemska biblioteka i nosi podatke o verziji preuzete od ESET Management Agent-a. Uzorak ne sadrži domene, IP adrese ni URL-ove i sam ne uspostavlja odlazne veze, što otežava uočavanje alatima koji prate komunikaciju ka poznatoj zlonamernoj infrastrukturi.
Implant koji se aktivira tek po prijemu signala
Ugrađena konfiguracija se dešifruje algoritmom AES-256-CCM i u analiziranom uzorku aktivira instrukciju za neograničeno praćenje svakog mrežnog interfejsa. SLEEPWALKER pritom može da presreće sav saobraćaj koji prolazi interfejsom, uključujući pakete namenjene drugim uređajima. Zato bi mrežni prolaz, VPN server ili sistem koji povezuje dva segmenta mogli da vide okidač namenjen drugoj mašini.
Komande ne stižu kao čitljiv tekst, već kao bajt-kod. Među 23 instrukcije su raspoređivanje zadataka, prenos podataka, višefazna isporuka datoteka sa SHA-256 proverom pre pokretanja i izvršavanje koda direktno u memoriji. Nijedna instrukcija ne zapisuje sadržaj na disk, pa materijal koji implant očekuje na kompromitovanom računaru mora postaviti druga komponenta.
Transporti, bočno učitavanje i granice analize
Malver podržava TCP, UDP, ICMP, SMB imenovane cevi sa akreditivima za bočno kretanje, sirovo presretanje saobraćaja i VMware Virtual Machine Communication Interface, odnosno VMCI. VMCI prolazi kroz sloj virtuelizacije, a ne mrežni adapter, pa snimak saobraćaja između dve mašine ne mora da ga zabeleži. U ovom uzorku uključen je samo sirovi paketni osluškivač, dok je DNS okidač prisutan u kodu, ali nije aktiviran.
SLEEPWALKER proverava samo ime procesa domaćina, ne i njegov potpis ili putanju. Upis DLL-a u odgovarajući direktorijum već zahteva lokalna administratorska prava, a implant koristi bezbednosni kontekst procesa domaćina umesto da sam pribavlja te privilegije. To ga svrstava u postkompromitacione implante: način početnog pristupa i postavljanja biblioteke ostaje nepoznat.
Mehanizam postojanosti zasniva se isključivo na Windows redosledu pretrage DLL biblioteka. Biblioteka se ponovo učitava pri svakom pokretanju usluge ESET Management Agent-a. Reichel navodi da to nije propust u ESET-ovom softveru koji se rešava zakrpom, već da potvrđeni nalaz zahteva odgovor na incident i ponovnu izgradnju pogođenog sistema.
Indikatori za proveru u okruženju
Istraživač je izdvojio neočekivane datoteke dpapi.dll i dpapisvc.dll pored ERAAgent.exe, kao i SHA-256 vrednost d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60. Dodatni indikatori su vrednost EveryoneIncludesAnonymous postavljena na 1 i neočekivan unos u NullSessionPipes, ali oni imaju težinu samo u poređenju sa poznatim dobrim početnim stanjem.
Za pristup neautentifikovanih pozivalaca imenovanoj cevi, SLEEPWALKER menja EveryoneIncludesAnonymous i dodaje naziv cevi u NullSessionPipes. Rutina za uklanjanje može obrisati legitimni, ranije postojeći unos u NullSessionPipes, jer beleži uspeh sopstvenog upisa, a ne prethodno stanje vrednosti.
Reichel je pripremio YARA pravilo i PowerShell skener samo za čitanje, ali navodi i ograničenje: pravilo se delom oslanja na statički AES ključ i kompajlirani protokol, pa bi izmenjena izgradnja mogla da ga zaobiđe. Za poslovne bezbednosne timove prioritet je provera navedenih artefakata u odnosu na proverenu osnovnu konfiguraciju, a kod potvrđenog podudaranja izolacija, istraga i obnova sistema.