SLEEPWALKER: пассивный бэкдор с собственным языком команд

Sleepwalker: Passive Backdoor with Its Own Command Language

SLEEPWALKER — это 64-битная DLL, маскирующаяся под Microsoft dpapi.dll и предназначенная для подгрузки в процесс ERAAgent.exe (ESET Management Agent). В отличие от типичных бэкдоров, он не устанавливает связь с C2-сервером, а пассивно перехватывает сетевой трафик в поисках специально сформированного пакета-триггера. После получения такого пакета он расшифровывает и выполняет программу, написанную на собственном языке команд с 23 инструкциями, которые поддерживают планирование, передачу файлов и запуск кода в памяти. Этот язык делает анализ затруднительным: даже зная ключ шифрования, необходимо реверс-инжиниринг самого языка. SLEEPWALKER использует несколько скрытых каналов связи, включая TCP, UDP, ICMP, SMB named pipes и даже VMCI, а также ослабляет безопасность Windows для анонимного доступа.