feed-digest - #malware

Sleepwalker: Passive Backdoor with Its Own Command Language

ESET Management Agentのdpapi.dllを偽装しERAAgent.exeへサイドロードされる新種のパッシブバックドア「SLEEPWALKER」の解析記事。固定のC2サーバーには接続せず、プロミスキャスモードでネットワークを常時監視し、特定のマジックパケットやDNSクエリを受信した際のみAES-256-CCMで復号して起動する。23命令からなる独自バイトコード言語を持ち、スケジューリング、ステージ配送、メモリ内シェルコード実行、SMB名前付きパイプ経由の横展開、VMCIチャネル通信などをサポートする。実装には粗い点もあり初期バージョンの可能性があるが、攻撃者の特定には至っていない。