SLEEPWALKER es una puerta trasera para Windows diseñada para permanecer inactiva hasta recibir un único paquete de red cifrado y personalizado. Cuando llega, el implante descifra y ejecuta un bytecode propio, lo que reduce el rastro en red y complica la detección.
Una nueva puerta trasera denominada SLEEPWALKER presenta un enfoque inusual en Windows: no establece comunicaciones hacia servidores externos, no mantiene un canal permanente y no genera el típico beaconing que suele delatar a muchas familias de malware. Permanece latente en memoria y solo se activa cuando recibe un único paquete de red construido a medida. Ese paquete es suficiente para activar el implante y ejecutar acciones sin que el sistema infectado inicie comunicación alguna.
El núcleo del diseño radica en la interpretación de órdenes. En lugar de comandos en texto o estructuras fáciles de inspeccionar, el paquete transporta un pequeño programa en bytecode perteneciente a un lenguaje propio con 23 instrucciones. Este mini lenguaje permite encadenar tareas, transferir información, recibir fases adicionales y ejecutar código en memoria. El objetivo es minimizar indicadores de red hasta el último momento y trasladar la lógica a un formato menos visible para herramientas de inspección convencionales.
El camuflaje también busca la discreción. La muestra analizada se presenta como una DLL de 64 bits que suplanta a dpapi.dll y exporta las mismas siete funciones que cabría esperar del nombre, además de falsificar metadatos de versión para aparentar legitimidad, incluso con una apariencia vinculada a ESET. El implante intenta cargarse mediante DLL side-loading dentro de ERAAgent.exe, el ejecutable del ESET Management Agent utilizado en despliegues de ESET PROTECT y ESET PROTECT On-Prem. Para reforzar el control, solo se activa si el proceso anfitrión coincide con el esperado.
La configuración interna se protege con AES-256-CCM y, en el caso descrito, se reduce a una instrucción de arranque que ordena vigilar interfaces de red de forma indefinida. Desde ahí puede inspeccionar tráfico en modo promiscuo y evaluar paquetes a nivel de contenido bruto, un detalle que permite ocultar el disparador dentro de tráfico IP que a simple vista podría parecer rutinario. También existe un canal alternativo para transportar disparadores en consultas DNS, aunque en la muestra no aparecía activado.
La puerta trasera contempla varios transportes para comunicación y entrega de tareas, incluidos TCP, UDP, ICMP, SMB named pipes y un canal VMCI de VMware entre huésped y host. En este repertorio hay un aspecto importante: para facilitar acceso no autenticado a tuberías con nombre, el malware puede modificar valores del registro de Windows como EveryoneIncludesAnonymous y NullSessionPipes, reduciendo la postura de seguridad del equipo. Estos cambios requieren permisos de administrador locales, y el código analizado no confirma por sí mismo una vía de escalada de privilegios.
No hay víctimas confirmadas, ni sectores específicos, ni países identificados, ni infraestructura atribuida, y el análisis público parte de una sola muestra sin telemetría asociada a incidentes. No obstante, el planteamiento encaja con operaciones dirigidas: reduce la huella de red, evita dependencias de un C2 fijo y puede esperar el momento oportuno para activarse.
Para equipos de seguridad, las medidas más inmediatas pasan por auditar endpoints con ESET Management Agent y comprobar si aparece una dpapi.dll inesperada en el mismo directorio que ERAAgent.exe. También conviene buscar la presencia de dpapisvc.dll junto al ejecutable, un nombre que no se corresponde con un componente estándar de Windows en los detalles descritos. Los investigadores han publicado reglas YARA y utilidades de escaneo en modo solo lectura para confirmar coincidencias por hash y artefactos característicos.
Si se sospecha de actividad, resulta clave revisar y corregir, comparando con una línea base, los valores EveryoneIncludesAnonymous y NullSessionPipes. En paralelo, ayuda endurecer la carga de DLL y reducir la superficie de side-loading con controles de integridad en directorios de aplicaciones y políticas que limiten cargas desde rutas no esperadas. La telemetría de carga de módulos y de cambios de configuración de red puede marcar la diferencia, sobre todo para detectar procesos que activen modo promiscuo o capturas anómalas.
Cualquier hallazgo debe tratarse como un incidente de alcance desconocido. SLEEPWALKER está pensado para ejecutar cargas en memoria y recibir tareas por fases, así que la respuesta debe incluir análisis forense y una revisión seria de permisos en los directorios donde residen componentes del agente de ESET, evitando escrituras no autorizadas que habiliten el side-loading. También gana importancia la visibilidad del tráfico interno, porque el primer disparador podría requerir proximidad a la red objetivo y su detección en segmentación y tráfico este a oeste puede ser el primer aviso.
Con Información de unaaldia.hispasec.com
