Phát hiện mã độc SLEEPWALKER: Backdoor “ngủ đông” chờ lệnh từ gói tin tùy chỉnh

Một nhà nghiên cứu an ninh mạng độc lập vừa công bố chi tiết về một loại backdoor Windows mới có tên là SLEEPWALKER. Điểm đáng chú ý của mã độc này là khả năng duy trì trạng thái “ngủ đông” trong bộ nhớ và chỉ thực thi các lệnh bytecode tùy chỉnh sau khi nhận được một gói tin mạng được thiết kế riêng biệt.

Cơ chế hoạt động tinh vi

SLEEPWALKER là một tệp DLL 64-bit không được ký số, được thiết kế để thực hiện kỹ thuật side-loading thông qua ERAAgent.exe – tệp thực thi của ESET Management Agent. Mã độc này giả mạo dpapi.dll của Microsoft bằng cách xuất ra các hàm bảo vệ dữ liệu tương tự, giúp nó hòa nhập vào hệ thống một cách tự nhiên.

Điểm đặc biệt là mã độc này không chứa bất kỳ địa chỉ IP, tên miền hay URL nào. Nó không chủ động thực hiện kết nối ra bên ngoài, khiến các công cụ giám sát mạng truyền thống khó lòng phát hiện ra hành vi bất thường. Thay vào đó, nó sử dụng một ngôn ngữ gồm 23 lệnh riêng biệt để thực thi các tác vụ sau khi nhận được tín hiệu kích hoạt.

Kỹ thuật “Magic Packet”

Sau khi được giải mã bằng thuật toán AES-256-CCM, cấu hình của SLEEPWALKER sẽ ra lệnh cho nó giám sát mọi giao diện mạng để chờ đợi một gói tin “kích hoạt”. Mã độc này có khả năng thu thập lưu lượng truy cập đi qua các giao diện được giám sát, bao gồm cả lưu lượng gửi đến các máy chủ khác. Điều này khiến nó trở thành một công cụ nguy hiểm trong các môi trường gateway hoặc VPN.

Các phương thức truyền tải mà SLEEPWALKER hỗ trợ bao gồm: TCP, UDP, ICMP, SMB named pipes, bắt gói tin ở chế độ promiscuous và giao diện VMCI của VMware. Việc sử dụng VMCI cho phép mã độc giao tiếp qua lớp ảo hóa, giúp nó tránh được sự giám sát từ các công cụ bắt gói tin mạng thông thường.

Khả năng tồn tại và phát tán

SLEEPWALKER không phải là một công cụ xâm nhập ban đầu mà là một post-compromise implant. Nó yêu cầu quyền quản trị viên cục bộ để ghi tệp vào thư mục đích. Kỹ thuật side-loading dựa trên thứ tự tìm kiếm DLL của Windows, do đó không có lỗ hổng cụ thể nào trong phần mềm ESET để thực hiện bản vá (patch). Giải pháp duy nhất cho các tổ chức bị ảnh hưởng là thực hiện quy trình ứng cứu sự cố (incident response) và tái thiết lập hệ thống.

Dấu hiệu nhận biết (IoC)

Nhà nghiên cứu Dominik Reichel đã cung cấp một số chỉ dấu để quản trị viên kiểm tra hệ thống:

• Sự xuất hiện bất thường của dpapi.dll và dpapisvc.dll bên cạnh ERAAgent.exe.
• Giá trị registry EveryoneIncludesAnonymous được đặt thành 1.
• Sự tồn tại của các entry lạ trong NullSessionPipes.

Hiện tại, các chuyên gia khuyến cáo các tổ chức nên sử dụng các quy tắc YARA và công cụ quét PowerShell (nếu có) để kiểm tra các dấu hiệu này trên toàn bộ hạ tầng. Do đây là một mối đe dọa mới, các tổ chức nghi ngờ bị nhắm mục tiêu nên liên hệ trực tiếp với các chuyên gia an ninh mạng để được hỗ trợ phân tích chuyên sâu.

Nguồn tham khảo: The Hacker News