SLEEPWALKER 백도어: 네트워크 패킷 하나로 깨어나는 수동형 악성코드
Sleepwalker: Passive Backdoor with Its Own Command Language
SLEEPWALKER는 ESET Management Agent의 DLL을 위장해 DLL side-loading으로 설치되는 수동형 백도어입니다. 특정 네트워크 패킷을 기다리다가 수신 시에만 활성화되며, 명령은 자체 설계한 23개 명령어로 구성된 바이트코드로 전달됩니다. 이 백도어는 TCP, UDP, ICMP, SMB, VMCI 등 다양한 전송 채널을 지원하며, DNS 쿼리로도 트리거될 수 있습니다. 또한 익명 SMB 접근을 허용하는 등 호스트 보안을 약화시킵니다. 분석자는 이 악성코드가 특정 공격자에 의한 표적 공격의 일부일 가능성이 높다고 판단했습니다.
SLEEPWALKER는 네트워크에서 특정 트리거 패킷을 기다리다가 그 패킷이 도착해야만 암호화된 명령을 해독하고 실행합니다.
HN 토론
16- int0x29
> 특정 순서로 읽어야만 의미가 있는 짧은 원시 바이트 시퀀스다.
이런 쓸모없는 문장이 AI 텍스트를 읽는 걸 이렇게 고통스럽게 만든다.
- ang_cire
정말 멋지다. 최고 수준은 아니더라도, 확실히 좋은 지식과 상당한 자원을 가진 누군가의 초기 또는 일회성 표적 공격으로 보인다. 꽤 멋진 발견이다!
- fabioyy
내가 스크립트 키드였던 시절(30년 전), 나는 리눅스에서 비슷한 것을 만들었는데, raw 소켓과 ETH_P_ALL을 사용했던 것 같다. 기존의 일반적인 리눅스 프로세스에 (소스 코드를 다시 컴파일하여) 삽입했는데, 문제는 네트워크 사용량이 많을 때 프로세스의 CPU 사용량이 높아진다는 것이었다. 물론 OS가 프로그램을 업데이트하면 살아남지 못했다.