O malware SLEEPWALKER representa uma evolução significativa nas táticas de persistência e evasão, utilizando a técnica de side-loading de DLL para se disfarçar como um componente legítimo do ESET Management Agent. Identificado por analistas da R136a1, o backdoor foi projetado para permanecer inativo até receber um pacote de rede especialmente crafted, criando um desafio considerável para as equipes de detecção baseadas em tráfego de rede tradicional.
Descoberta e escopo
O SLEEPWALKER é uma biblioteca de 64 bits para Windows que se passa por um componente do ESET Management Agent. Quando o processo do agente é iniciado, a biblioteca maliciosa verifica apenas o nome do processo hospedeiro. Se a correspondência for confirmada, ela inicia um worker, decodifica suas instruções de inicialização e começa a monitorar o tráfego de rede.
Diferente de backdoors tradicionais, o SLEEPWALKER não abre portas de escuta visíveis nem envia beacons iniciais, permitindo que o software de gerenciamento genuíno continue operando normalmente. Essa característica complica a resposta a incidentes iniciais, pois o tráfego de rede limpo não descarta necessariamente uma comprometimento.
Vetor e exploração
O malware utiliza side-loading de DLL, fazendo com que um programa legítimo carregue um arquivo de suporte malicioso colocado ao lado dele. O gatilho é verificado contra várias condições, incluindo comprimento do pacote, checksums e criptografia. Um pacote válido é decodificado e passado para um interpretador compacto, com 23 instruções para agendamento, staging, comunicações e execução apenas em memória.
Uma vez ativado, o backdoor pode receber tarefas de acompanhamento via TCP, UDP, ICMP, pipes nomeados SMB, pacotes brutos ou canal VMCI da VMware. O VMCI permite comunicações entre máquinas virtuais e um host sem atravessar um adaptador de rede físico, dificultando a detecção por firewalls de borda.
Impacto e alcance
O SLEEPWALKER pode criar pipes nomeados e usar credenciais fornecidas para se comunicar com outros sistemas, abrindo um caminho possível para movimento lateral. O implante enfraquece as proteções locais para facilitar o acesso anônimo a pipes nomeados, alterando configurações do Windows e tentando revertê-las posteriormente.
Essas alterações exigem direitos de administrador, indicando que a amostra não mostra uma maneira de obter acesso elevado por si só. A evidência aponta para uma intrusão direcionada em vez de uma campanha de spam ampla, exigindo que o atacante tenha acesso à rede da vítima para posicionar o arquivo.
Medidas de mitigação recomendadas
As organizações devem investigar o carregamento de bibliotecas de pastas de agentes de gerenciamento, validar assinaturas de arquivo e hashes, e comparar configurações de SMB anônimo e pipes nomeados com baselines aprovadas. As equipes também devem monitorar captura de pacotes brutos, monitoramento de interface e cargas de biblioteca suspeitas no lado do processo.
A R136a1 lançou uma regra de detecção e um scanner PowerShell de leitura-only que verifica artefatos de arquivo e configuração conhecidos. Como a análise cobre um único binário sem telemetria de incidente, o método de entrega, infraestrutura, vítimas e atacante permanecem desconhecidos.
Indicadores de comprometimento (IoCs)
- SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
- Localização de arquivo: dpapi.dll ao lado de ERAgent.exe
- Nome de arquivo: dpapisvc.dll
- Valor de registro: EveryoneIncludesAnonymous = 1
- Valor de registro: Entrada inesperada em NullSessionPipes
O que os CISOs devem fazer imediatamente
Devido ao modelo de ativação silenciosa, a caça rápida e contenção são prudentes quando os indicadores listados aparecem. As organizações devem validar a integridade dos agentes de gerenciamento e monitorar comportamentos anômalos de processos que carregam bibliotecas de pastas de terceiros.