Un investigador independent de programari maliciós ha documentat una porta del darrere de Windows que no havia estat informada anteriorment, anomenada SLEEPWALKER, que roman inerta a la memòria fins que un paquet de xarxa específicament dissenyat arriba a la màquina i, tot seguit, executa ordres escrites en un llenguatge de 23 instruccions de disseny propi.

L’exemple és una biblioteca d’enllaç dinàmic (DLL) de Windows de 64 bits sense signar de 59.904 bytes, creada per ser carregada lateralment a ERAAgent.exe, l’executable de Windows per a l’agent de gestió de l’ESET.

Suplanta el fitxer dpapi.dll de Microsoft, exporta les mateixes set funcions de protecció de dades que la biblioteca del sistema original i conté un recurs de versió copiat de l’agent de gestió de l’ESET.

No hi ha dominis, adreces IP ni URL integrats al fitxer, i no estableix cap connexió de sortida pròpia, de manera que un amfitrió infectat pot semblar net a les eines que vigilen les connexions a una infraestructura coneguda com a dolenta.

Les ordres arriben com a bytecode en lloc de text llegible, de manera que la recuperació de la clau de xifratge produeix codis d’operació en un format que no existeix enlloc més que dins d’aquest fitxer. Dominik Reichel, un antic investigador de programari maliciós de la Unitat 42 de Palo Alto Networks, va dir que l’enfocament és «coherent amb una operació específica i amb bons recursos, en lloc d’una operació oportunista».

L’avaluació es basa en un únic binari subministrat sense context de recollida, i Reichel no va poder atribuir la mostra a cap actor conegut, establir una víctima, un sector o un país, ni determinar si la mostra es va desplegar mai.

La seva configuració integrada desxifra mitjançant AES-256-CCM en una sola instrucció que indica a la porta del darrere que monitori cada interfície de xarxa indefinidament per a aquest paquet.

L’oient de xarxa captura tot el que creua cada interfície observada, inclòs el trànsit dirigit a altres màquines. Per tant, una passarel·la, un servidor VPN o un amfitrió que connecta dos segments de xarxa podria veure un activador destinat a una màquina completament diferent.

SLEEPWALKER només comprova el nom del procés amfitrió, no la seva signatura ni la seva ruta. Escriure el fitxer en aquest directori requereix drets d’administrador local que un operador ja ha de tenir, i la porta del darrere es basa en el context de seguretat del seu procés amfitrió en lloc d’obtenir aquests drets ella mateixa.

Per tant, la porta del darrere és un implant postcompromís en lloc d’un punt d’entrada, i es desconeix com un operador va arribar per primera vegada a la màquina i va escriure la DLL en aquest directori.

La càrrega lateral també és el seu únic mecanisme de persistència, i la DLL es torna a carregar cada vegada que s’inicia el servei de l’agent de gestió de l’ESET.

La càrrega lateral es basa en l’ordre de cerca de DLL de Windows en lloc d’un defecte del programari de l’ESET, de manera que no hi ha res a apedaçar i la resposta a una coincidència confirmada és una resposta a incidents i una reconstrucció.

Els productes d’ESET ja han estat utilitzats anteriorment de manera abusiva per a la càrrega lateral, inclòs per ToddyCat, que segons Kaspersky va explotar un defecte d’ordre de cerca a l’escàner de línia d’ordres de l’empresa per carregar una DLL maliciosa a l’ESET.

The Hacker News s’ha posat en contacte amb ESET per demanar comentaris sobre si té telemetria a la mostra i actualitzarà aquesta història amb qualsevol resposta.

ESET no ha emès cap avís ni declaració pública sobre el programari maliciós a data de 26 d’agost.

Les 23 instruccions cobreixen la programació, diverses maneres de moure dades, el lliurament de fitxers per etapes verificat amb un hash SHA-256 abans que s’executi i l’execució de codi directament a la memòria. Es basen en sis transports, que inclouen TCP, UDP, ICMP, canonades amb nom SMB amb moviment lateral amb credencials, captura promiscua en brut i la interfície de comunicació de màquines virtuals (VMCI) de VMware.

El trànsit VMCI passa a través de la capa de virtualització en lloc d’un adaptador de xarxa, de manera que una captura de paquets feta entre dues màquines el passa per alt completament. UNC3886 va fer servir sòcols VMCI per a la persistència entre els amfitrions ESXi compromesos i les seves màquines virtuals convidades en intrusions documentades per Mandiant.

Cap instrucció del llenguatge s’escriu al disc, de manera que qualsevol cosa que la porta del darrere esperi trobar en una màquina compromesa l’ha de col·locar un altre component.

Dues de les instruccions vigilen el disparador. El codi d’operació emmagatzemat a la mostra analitzada només habilita l’oient de xarxa de paquets en brut. Al mateix temps, un segon codi d’operació també habilita un disparador basat en DNS implementat al binari però no actiu en aquesta compilació.

Per permetre que els usuaris no autenticats arribin al seu canal de canonada amb nom, SLEEPWALKER estableix el valor de registre EveryoneIncludesAnonymous i afegeix el nom del seu canal a NullSessionPipes. La seva rutina de neteja registra si la seva pròpia escriptura a NullSessionPipes ha tingut èxit en lloc de si ja hi havia una entrada present, de manera que una eliminació pot suprimir una entrada legítima anterior a la infecció.

Reichel va publicar els següents indicadors d’amfitrió:

• Un dpapi.dll inesperat al costat de l’ERAAgent.exe
• Un dpapisvc.dll inesperat al mateix directori
• SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
• MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
• TothomInclouAnònim establert a 1
• Una entrada inesperada a NullSessionPipes

Els dos valors del registre només tenen pes en relació amb una línia de base coneguda com a bona.

L’article inclou una regla YARA i un escàner de PowerShell de només lectura que comprova aquests indicadors en una propietat. Reichel va dir que la cobertura de detecció del fitxer era baixa en el moment de la publicació, sense indicar una base per a aquesta avaluació.

Va assenyalar que la regla YARA es basa parcialment en una clau AES estàtica i en codi de protocol compilat, que podria ser trencat per una reconstrucció amb configuracions de compilador diferents.

The Hacker News no va trobar cap publicació del conjunt d’eines d’anàlisi ni de la guia de mitigació descrita a la publicació al lloc web de Reichel ni al seu perfil de GitHub en data 26 d’agost. Reichel va dir que qualsevol persona que cregui que ha estat objectiu hauria de contactar-hi directament.

Implants de paquets màgics d’aquest tipus han aparegut en sistemes Linux, incloent-hi l’ús per part de Red Menshen de portes del darrere passives com ara BPFDoor dins de les xarxes dels operadors de telecomunicacions, tal com documenta Rapid7.