SLEEPWALKERは、特殊な細工が施されたネットワークパケットを受信するまで休眠状態を維持するよう設計された、新たに確認されたパッシブ型のWindowsバックドアです。
コマンド&コントロール(C2)サーバーへ定期的に接続する一般的なバックドアとは異なり、SLEEPWALKERは固定のC2ドメイン、IPアドレス、URL、第2段階のペイロードを一切保持していません。
このマルウェアは、ESET Management AgentのプロセスERAAgent.exeを悪用したDLLサイドローディングによって動作するよう設計されています。解析対象となったサンプルは、Microsoftのdpapi.dllになりすました署名なしの64ビットDLLでした。
正規のESET Management Agentからコピーしたバージョン情報を保持しており、これによって信頼されたソフトウェア環境に紛れ込みやすくしています。
SLEEPWALKERを発見した研究者Dominik Reichel氏は、その設計が日和見的なマルウェアというよりも、標的を定めた潤沢なリソースを持つ攻撃活動に合致すると評価しています。
ただし、現時点で特定の脅威アクター、被害者、攻撃キャンペーン、侵入経路との関連は確認されていません。
SLEEPWALKERは主要な機能を開始する前に、ホストプロセスの名前がERAAgent.exeであるかを確認します。その後バックグラウンドスレッドを起動し、メモリを確保して起動用の命令を復号し、独自のバイトコードインタープリタを開始します。
組み込まれた設定にはSNIFF_MAGIC_PACKETという命令のみが含まれています。これはマルウェアに対し、利用可能なネットワークインターフェースを監視し、一致するトリガーを探すよう指示するものです。このインプラントはインターフェースをプロミスキャスモードに切り替え、パケットが想定された構造を持つかどうかを検査できます。
有効なトリガーを受信すると、SLEEPWALKERはAES-256-CCM暗号化とCRC-32検証を用いてタスクの認証と復号を行います。復号された内容は一般的なコマンドではなく、独自形式のバイトコードです。
このマルウェアは23種類の命令を実装しており、スリープ・スケジューリング処理、TCP・UDP・ICMP・名前付きパイプによる通信、VMware VMCI通信、段階的なペイロード配信、LZMA展開、ファイルベースのタスク読み込み、メモリ内でのシェルコード実行などをカバーしています。
SLEEPWALKERはDNSベースのトリガーにも対応していますが、解析されたサンプルの初期設定ではこの機能は有効化されていませんでした。
VMware VMCIへの対応は、通常のネットワークトラフィックを使わず、仮想化レイヤーを介して通信できるもう一つの珍しい手段を提供しています。
このバックドアはさらに、Windowsの設定を変更して認証なしでの名前付きパイプへのアクセスを許可することも可能です。この変更には、匿名アクセス関連の設定を有効化することや、Everyoneおよび匿名ログオンに権限を付与したパイプを作成することが含まれます。
SLEEPWALKERのパッシブなアーキテクチャは、検知において大きな課題を生み出しています。攻撃者が制御するサーバーへ自律的にビーコン通信を行わないため、防御側は定期的な外向き通信、悪意あるドメイン、従来型のC2ブロックリストのみに頼ることができません。
セキュリティチームは、ERAAgent.exe付近に存在する想定外の署名なしdpapi.dllファイルを調査すべきです。特に、不審な名前付きパイプの活動、匿名SMB設定の変更、通常とは異なるネットワークパケット検査の挙動が見られる場合は注意が必要です。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記([.]など)されています。再変換はMISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/sleepwalker-backdoor-awakens/
