Sleepwalker:マジックパケットを待ち受けるパッシブ型Windowsバックドア

マルウェアは、必ずしも攻撃者のサーバーと通信しなくても、攻撃者の制御下に留まることができます。研究者のDominic Reichel氏は、特別に細工されたネットワークパケットをメモリ上で静かに待ち受ける、これまで知られていなかったWindowsバックドア「Sleepwalker」を発見しました。このシグナルを受信すると、プログラムは埋め込まれたコマンドを復号して実行します。

DLLサイドローディングでMicrosoftのシステムファイルに偽装

Sleepwalkerは、正規のMicrosoftシステムファイルであるdpapi.dllを装った64ビットDLLの内部に隠れています。この悪質なモジュールは、ESET Management Agentのコンポーネントであ るERAAgent.exeとともに、DLLサイドローディングを通じて読み込まれます。起動すると、Sleepwalkerは親プロセス名を確認したうえでメモリ上に常駐し、コマンド&コントロール(C2)サーバーへの通常の接続は一切確立しません。

外部との通信ではなく、マジックパケットを待ち受ける

このバックドアは、外向きの通信を開始する代わりに、通過するネットワークトラフィックを受動的に監視し、マジックパケットと呼ばれるあらかじめ定められたシーケンスを探します。マルウェアの作者たちは、この受動的な待ち受け手法を、古くは1990年代後半から用いてきました。この古い手法を今になって復活させることが、Sleepwalkerにとって有利に働いています。不審なドメインや開放ポート、異常な外向きトラフィックを検知するよう設計された現代の防御機構を回避できるためです。その結果、感染したマシンは目立ったネットワーク活動を一切示さないまま、長期間にわたって潜伏し続けることが可能になります。

AES-256-CCMで暗号化された、23命令から成る独自のコマンド言語

SleepwalkerのコマンドはAES-256-CCM暗号化で保護されており、23種類の命令から構成される独自のバイナリ言語に依存しています。この言語を通じて、オペレーターはデータの送信や隠蔽、新たなタスクの受信、TCP・UDPポートの開放、Windowsの名前付きパイプとのやり取り、ファイルのダウンロード、そしてメモリ上での直接的なコード実行を行うことができます。一部の命令では、VMwareのVMCIターゲットとの通信すら可能です。

標的型かつ潤沢な資金を持つ攻撃活動の兆候

Reichel氏は、Sleepwalkerの設計を、標的型で潤沢な資金を持つ攻撃活動の特徴だと見ています。ただし、実際の攻撃で使用されたことを確認するのは現時点では不可能だとしています。この研究者は、被害者や国、あるいはこの悪質なモジュールが展開された可能性のある業界についてのデータを持っていません。初期感染経路、Sleepwalkerの開発者、そして既知の脅威グループとの関連の有無についても、依然として不明のままです。

検知ツールと修復のためのガイダンス

分析目的のため、Reichel氏は、悪質な命令を実際に実行することなく、Sleepwalkerのコマンドや暗号化データ、ネットワーク上の痕跡を解析できる一連のツールを用意しました。別途公開されたガイドでは、Sleepwalkerを発見した後に取るべき適切な対応がまとめられており、感染を除去するための修復スクリプトも含まれています。このバックドアが受動的に動作するという点こそが最大のリスクであり、つまり、不審な外向き通信が見当たらないというだけでは、感染していないとは言い切れないということです。