Beveiligingsonderzoekers ontdekten een nieuwe Windows-backdoor met de naam Sleepwalker. Deze malware wacht stil in het geheugen van een besmette computer. Onderzoekers zagen deze techniek niet eerder bij Windows-malware. Pas een speciaal gemaakt netwerkpakket, een zogenoemd magisch pakket, wekt de backdoor. Malware-onderzoeker Dominik Reichel beschreef de vondst maandag in een technische analyse. Volgens hem draagt dat pakket geen leesbare opdracht. Het bevat een kort programma in een eigen commandotaal van de malware. Die taal telt 23 instructies.
Die instructies dekken veel mogelijkheden. Aanvallers plannen taken, verplaatsen gegevens op meerdere manieren en leveren bestanden in delen af. Ook draaien ze code rechtstreeks in het geheugen. Reichel waarschuwt dat alleen de encryptiesleutel niet volstaat. Onderzoekers moeten ook de interne commandotaal reverse-engineeren om zo’n programma te begrijpen. Opvallend is verder dat de tegenpartij een VMware VMCI-adres kan gebruiken in plaats van een gewoon netwerkadres. Reichel ziet daarin het werk van een gerichte en goed uitgeruste groep. Het gaat volgens hem niet om een opportunistische aanval.
De backdoor verstopt zich in een 64-bits Windows-DLL. Dat bestand doet zich voor als dpapi.dll, onderdeel van de Windows-API voor gegevensbescherming. Het echte dpapi.dll beschermt gevoelige gegevens binnen Windows. De nepversie exporteert dezelfde zeven functies als het echte bestand. Vervolgens stuurt het aanroepen door naar dpapisvc.dll, dat geen echt Windows-onderdeel is. Ook draagt het bestand een vervalste versieaanduiding van de ESET Management Agent. Via side-loading laadt de malware in ERAAgent.exe. Zodra Sleepwalker dat proces herkent, gaat het slapen in het geheugen. Zo blijft het buiten beeld van klassieke antivirussoftware.
Gewone backdoors bellen zelf naar een command-and-control-server en halen daar opdrachten op. Sleepwalker doet dat niet. Het luistert alleen mee met het netwerkverkeer en zoekt naar een specifiek patroon. Herkent het dat pakket, dan ontsleutelt het de inhoud en voert het de opdracht uit. De malware verstuurt zelf niets en opent standaard geen zichtbare poort. Daardoor zien monitoringtools geen verdachte uitgaande verbindingen of contact met bekende kwaadaardige domeinen. Reichel benadrukt daarom een belangrijk punt. Het ontbreken van verdacht verkeer sluit een besmetting niet uit. Een computer kan volledig gecompromitteerd zijn zonder ook maar een signaal voor netwerkbewaking.
