Основы Интернет - технологий.

ИБ-исследователь Доминик Райхель (Dominik Reichel) обнаружил ранее неизвестный бэкдор Sleepwalker для Windows. Вредонос может долгое время оставаться неактивным в памяти и начинает работу только после получения специально подготовленного сетевого пакета. Более того, Райхель сообщает, что для управления малварью используется собственный язык команд, поддерживающий 23 инструкции. Sleepwalker представляет собой неподписанную 64-битную DLL размером 59 904 байта, которая маскируется под системную библиотеку dpapi.dll и применяет технику DLL side-loading, используя ERAAgent.exe — исполняемый файл ESET Management Agent. Для маскировки вредонос также содержит поддельные сведения о версии этого продукта. Для запуска малварь помещает вредоносную dpapi.dll в одну директорию с ERAAgent.exe. При запуске ESET Management Agent Windows загружает эту библиотеку вместо системной dpapi.dll из-за стандартного порядка поиска DLL в Windows. Причем Sleepwalker проверяет только имя процесса ERAAgent.exe, но не его путь или цифровую подпись. То есть вредоносу достаточно запуститься внутри процесса с таким именем. При этом исследователь подчеркивает, что речь не идет о какой-то уязвимости в продукте ESET, и отмечает, что исправлять здесь нечего. Также Райхель отмечает, что для размещения DLL в нужной директории атакующему нужно заранее получить локальные права администратора, то есть бэкдор представляет собой инструмент для постэксплуатации, а не средство для первоначального взлома. Главная особенность Sleepwalker заключается в том, что после заражения он не связывается с управляющим сервером и не открывает порт для приема входящих соединений. Вместо этого бэкдор пассивно изучает трафик, проходящий через сетевые интерфейсы скомпрометированной машины, и ждет magic-пакет с определенной структурой. В результате зараженная система не генерирует подозрительный исходящий трафик и может оставаться незаметной для средств мониторинга C2-соединений. После получения нужного пакета Sleepwalker расшифровывает его содержимое с помощью AES-256-CCM, причем внутри пакета находится не текстовая команда, а байткод на собственном языке малвари. Суммарно исследователь насчитал 23 инструкции, которые позволяют бэкдору планировать выполнение задач, принимать и передавать данные, извлекать файлы по частям, проверять их целостность с помощью SHA-256, а также запускать код непосредственно в памяти. После активации Sleepwalker способен получать новые команды и передавать данные несколькими способами: через TCP, UDP, ICMP, именованные каналы SMB и VMware VMCI. Последний механизм также позволяет обмениваться данными напрямую между VMware-хостом и виртуальной машиной через слой виртуализации, минуя обычный сетевой интерфейс, и в результате такой трафик может не попасть в сетевой дамп. Кроме того, бэкдор может открывать TCP- и UDP-порты для приема команд и подключаться к именованным каналам на других машинах (в том числе с использованием учетных данных). При этом ни одна из 23 инструкций малвари не предназначена для записи файлов на диск. Это означает, что если Sleepwalker понадобится некий файл в зараженной системе, его должен будет доставить другой компонент атаки. Кто создал и применял Sleepwalker, пока остается неясным. Райхель получил лишь один образец малвари без контекста реальной атаки, поэтому он не смог определить возможных жертв Sleepwalker или связать бэкдор с конкретной хак-группой. Также неизвестно, насколько широко может применяться этот вредонос. По мнению исследователя, сложность архитектуры и собственный язык команд указывают скорее на целевую и хорошо обеспеченную ресурсами операцию, чем на массовые атаки. К своему отчету Райхель прилагает YARA-правило и PowerShell-сканер, предназначенные для обнаружения Sleepwalker, так как заражение имеет характерные признаки, включая появление dpapi.dll рядом с ERAAgent.exe и изменения в реестре. Также исследователь подготовил инструменты для разбора байткода и сетевых артефактов Sleepwalker и теперь рекомендует потенциальным жертвам этой малвари связываться с ним напрямую.