SLEEPWALKER：独自のコマンド言語を持つ受動的バックドア
Sleepwalker: Passive Backdoor with Its Own Command Language
SLEEPWALKERは、ESET Management Agentの実行ファイルにDLLサイドローディングされる受動的バックドアです。外部への接続を一切行わず、メモリ上で待機し、特定の細工されたネットワークパケット（マジックパケット）を受信したときだけ起動します。このパケットには、読み取り可能なコマンドではなく、バックドア独自の設計による23の命令からなるバイトコードプログラムが含まれています。AES-256-CCMで暗号化され、mbedTLSが静的リンクされています。この記事では、ファイルの特性、起動シーケンス、ネットワーク上の隠蔽方法、コマンド言語の詳細、そして検出のためのIOCとYARAルールを解説します。
SLEEPWALKERは、外部への接続を一切行わず、特定の暗号化されたネットワークパケットが届くまで、メモリ上で何もせずに待機し続けます。
HNでの議論
16- int0x29
> 生のバイト列の短い並びで、特定の順序で読んだときだけ意味を持つ。
こういう無意味な文章が、AIのテキストを読むのを苦痛にしているんだよな。
- ang_cire
これはとてもクールだ。たとえそれ自体が最高峰のものではないにしても、確実に、優れた知識と相当なリソースを持つ誰かによる、初期の、あるいは一度きりの、標的型攻撃のようだ。かなり面白い発見だ！
- fabioyy
スクリプトキディだった頃（30年前）、Linuxで似たようなことをやったよ。rawソケットと、確かETH_P_ALLを使ってね。既存の通常のLinuxプロセス（ソースコードを再コンパイルしたもの）に埋め込むわけだが、問題はネットワーク使用が激しいときのプロセスのCPU使用率が高くなることだった。もちろん、OSがプログラムを更新すれば生き残れなかったけどね。