Características de um backdoor passivo
Analistas da PolySwarm identificaram um novo backdoor para Windows denominado SLEEPWALKER, projetado para permanecer completamente inativo até receber um comando específico. Diferente de ferramentas de acesso remoto tradicionais que fazem beaconing constante, este malware espera por um pacote de rede criptografado enviado manualmente pelos operadores.
Essa abordagem de silêncio prolongado torna a detecção extremamente difícil para ferramentas de monitoramento de rede baseadas em tráfego. O implant verifica se está rodando dentro do processo esperado de um agente de gerenciamento legítimo, carregando-se via DLL side-loading para parecer parte de um componente de segurança confiável.
Técnicas de ofuscação e execução
O SLEEPWALKER utiliza uma biblioteca não assinada de 64 bits que imita componentes de suporte legítimos. Sua configuração é propositalmente esparsa, sem servidores de comando hard-coded. Em vez disso, coloca interfaces de rede em modo promíscuo e aguarda indefinidamente por tráfego que corresponda a um formato de pacote criptografado definido.
Quando um pacote válido é detectado, ele passa por validações de CRC-32 e é decifrado usando AES-256-CCM. O malware então passa o resultado para seu próprio interpretador de comandos, permitindo que o atacante emita instruções sem gerar o tráfego de saída típico de ferramentas de acesso remoto.
Capacidades e vetores de comunicação
O malware suporta 23 instruções de bytecode para agendamento, tarefas repetidas, listeners adicionais e execução direta de shellcode na memória. Ele também suporta TCP, UDP, ICMP, pipes nomeados do Windows e comunicações VMCI da VMware.
Embora o código analise essas capacidades, a configuração observada habilitava apenas o listener de pacote bruto. No entanto, a presença dessas funcionalidades indica que o malware foi projetado para movimento lateral e controle flexível caso o operador consiga posicionar-se na rede correta.
Indicadores de comprometimento (IoCs)
Defensores devem procurar por carregamento inesperado de bibliotecas em pastas de agentes de gerenciamento, nomes de arquivos suspeitos como dpapi.dll (não assinado) e processos alvo como ERAAgent.exe. A análise de hashes SHA-256 e a verificação de assinaturas digitais são cruciais.
Equipes de SOC devem correlacionar inícios de processo, cargas de biblioteca incomuns e alterações de configuração de segurança. A preservação de evidências voláteis é vital, pois o malware pode deixar pouco rastro no disco após a execução.
Lições para equipes de defesa
O SLEEPWALKER demonstra como atacantes podem separar o comprometimento inicial do controle posterior, permanecendo quietos entre ações. A defesa deve focar em monitoramento comportamental e validação de integridade de arquivos, em vez de depender apenas de listas de bloqueio de reputação.