Phát hiện backdoor SLEEPWALKER trên Windows chờ gói tin kích hoạt
"An independent researcher documented SLEEPWALKER, a previously unreported Windows backdoor delivered as a side-loaded DLL that remains dormant until it receives a crafted network packet. The implant uses a custom 23-instruction bytecode language, AES-256-CCM–encrypted configuration, and multiple transport mechanisms including TCP, UDP, ICMP, SMB named pipes, raw packet capture, and VMCI; no CVE is associated, and mitigation is focused on incident response, rebuilding affected hosts, and detecting indicators such as unexpected dpapi.dll placement and registry changes."
Rủi ro cao do backdoor hậu xâm nhập, có khả năng ẩn mình lâu và kích hoạt theo gói tin đặc biệt; không có CVE để vá, nên cần tập trung vào phát hiện và ứng phó.
Có thể ảnh hưởng đến tính toàn vẹn hệ thống và khả năng giám sát mạng; nếu xác nhận nhiễm, cần rebuild máy và kiểm tra lan truyền trong môi trường.
Một nhà nghiên cứu độc lập đã công bố phân tích về SLEEPWALKER, một backdoor Windows chưa từng được ghi nhận trước đây. Mã độc này được phát tán dưới dạng DLL side-loading và có thể nằm im trong bộ nhớ cho đến khi nhận được một gói tin mạng được tạo đặc biệt. Khi được kích hoạt, nó thực thi lệnh bằng bytecode 23 lệnh do chính nó thiết kế.
Mẫu được mô tả là một DLL 64-bit không ký số, kích thước 59.904 byte, giả mạo dpapi.dll và đi kèm cấu hình mã hóa bằng AES-256-CCM. SLEEPWALKER không chứa domain, IP hay URL cố định, đồng thời không tự tạo kết nối ra ngoài, khiến việc phát hiện dựa trên lưu lượng mạng truyền thống trở nên khó hơn.
Theo phân tích, backdoor này hỗ trợ nhiều kênh truyền như TCP, UDP, ICMP, SMB named pipes, raw packet capture và VMCI. Khuyến nghị ưu tiên điều tra sự cố, rebuild máy bị ảnh hưởng, rà soát dấu hiệu như dpapi.dll hoặc dpapisvc.dll bất thường cạnh ERAAgent.exe, cùng thay đổi trong EveryoneIncludesAnonymous và NullSessionPipes. Hiện không có CVE liên quan; trọng tâm là phát hiện chỉ báo và xử lý hậu xâm nhập.