Phát hiện backdoor Windows mới Sleepwalker
"Researchers identified a previously unseen Windows backdoor dubbed Sleepwalker, delivered as a 64-bit DLL that masquerades as Microsoft's dpapi.dll and side-loads via ERAAgent.exe. The malware stays dormant in memory until it detects a specially crafted "magic packet," then decrypts AES-256-CCM commands written in its own 23-instruction language to execute code, move data, and manage tasks; no victim, attribution, or initial access vector was confirmed."
Đây là mối đe dọa ẩn trong bộ nhớ, khó phát hiện bằng giám sát mạng thông thường; có thể chạy mã, trích xuất dữ liệu và duy trì hiện diện bí mật.
Có thể gây rò rỉ dữ liệu, ảnh hưởng tính toàn vẹn hệ thống và làm tăng chi phí điều tra, cô lập, khôi phục khi phát hiện muộn.
Các nhà nghiên cứu an ninh đã phát hiện một backdoor Windows mới có tên Sleepwalker, được phát tán dưới dạng DLL 64-bit và giả mạo dpapi.dll của Microsoft để side-loading qua ERAAgent.exe. Mã độc này ẩn trong bộ nhớ, chờ một “magic packet” được tạo đặc biệt rồi mới giải mã lệnh bằng AES-256-CCM.
Theo phân tích, Sleepwalker có 23 lệnh trong ngôn ngữ điều khiển riêng, cho phép chạy mã trong bộ nhớ, di chuyển dữ liệu, tạo tác vụ và xử lý các thành phần phụ. Một số lệnh có thể mở kết nối TCP, ghi dữ liệu qua named pipe, hoặc làm việc với đích VMware VMCI thay vì địa chỉ mạng thông thường.
Điểm đáng chú ý là backdoor này không chủ động gọi về C2 và cũng không mở cổng lắng nghe rõ ràng theo mặc định, khiến các công cụ giám sát lưu lượng có thể khó phát hiện. Hiện chưa xác định được nạn nhân, nguồn xâm nhập ban đầu hay tác nhân đứng sau.
Khuyến nghị: kiểm tra các máy có ERAAgent.exe, rà soát DLL lạ đặt cạnh tiến trình hợp lệ, giám sát hành vi side-loading, và tăng cường phát hiện dựa trên memory analysis cùng IOC từ báo cáo kỹ thuật.