Sleepwalker

Un ricercatore ha scoperto una backdoor Windows molto sofisticata e finora poco conosciuta, progettata per essere estremamente silenziosa e difficile da individuare con i normali controlli di rete
Sleepwalker è una backdoor per Windows: se viene installata su un PC, permette a chi la controlla di eseguire operazioni sulla macchina.
Dopo essersi installata, non fa nulla, se non rimanere in memoria, ad aspettare.
Non apre necessariamente una porta di rete, non stabilisce una connessione con un server e non invia dati all’esterno.
È proprio questo che la rende interessante dal punto di vista della sicurezza. Ciò che consente al malware di svegliarsi dal suo letargo è un “magic packet”.
Normalmente una backdoor funziona tenendo una porta in ascolto e quando l’attaccante invia un comando verso la porta crea traffico che può essere individuato. Sleepwalker invece funziona al contrario.
Il computer ascolta il traffico che passa, cercando un particolare pacchetto costruito dall’attaccante. Questo viene chiamato magic packet. Quando ne trova uno che corrisponde al formato previsto, lo decifra e interpreta il contenuto come istruzioni.
Un monitoraggio basato solamente sulle connessioni in uscita potrebbe non vedere nulla di sospetto.
I comandi sono cifrati con AES-256-CCM e, una volta decifrati, non sono testo leggibile.

Sleepwalker possiede infatti una piccola macchina virtuale o un interprete del suo linguaggio di comando proprietario con 23 istruzioni.
Le 23 istruzioni permettono, tra le altre cose, di:

• ricevere ulteriori dati
• inviare dati
• trasferire file
• creare programmi
• eseguire codice direttamente dalla memoria
• aprire connessioni TCP/UDP
• usare named pipe di Windows
• avviare programmi secondari
• pianificare l’esecuzione di determinate attività.

Il malware può utilizzare anche VMware VMCI come destinazione per alcune comunicazioni, invece di un normale indirizzo IP.

Questo è particolarmente interessante in ambienti virtualizzati, perché VMCI permette comunicazioni tra macchina virtuale e host/altre VM senza necessariamente comportarsi come una normale comunicazione di rete Internet.

Come entra nel PC? Al momento non si dispone delle informazioni necessarie per ricostruire l’intera catena dell’attacco per determinare l’origine del malware.

Sleepwalker è una DLL a 64 bit che si spaccia per dpapi.dll, un componente legittimo di Windows. Inoltre sfrutta il cosiddetto DLL side-loading attraverso ERAAgent.exe, componente dell’agent di gestione di ESET. È un trucco abbastanza classico: non devi necessariamente modificare il programma legittimo; devi fare in modo che carichi la DLL sbagliata.