Un investigador de seguridad ha revelado la existencia de SLEEPWALKER, un backdoor pasivo avanzado que desafía las técnicas tradicionales de detección al no abrir puertos de escucha ni contener cargas maliciosas visibles en su estructura inicial. Este malware opera mediante un diseño ingenioso: permanece inactivo en la memoria hasta que recibe un paquete de red específicamente diseñado, el cual contiene instrucciones escritadas en un lenguaje de comandos propio y exclusivo del backdoor. La revelación surge tras una revisión exhaustiva de un archivo que inicialmente parecía insignificante, pero cuyo análisis profundo destapó una arquitectura compleja y difícil de rastrear.
SLEEPWALKER se presenta como una DLL de 64 bits para Windows que falsifica la identidad de componentes legítimos de Microsoft y ESET. El archivo, de aproximadamente 60 KB y compilado en junio de 2024, utiliza una técnica conocida como side-loading (carga lateral) para infiltrarse en ERAAgent.exe, el ejecutable del Agente de Gestión de ESET, un componente crítico para la administración de endpoints en entornos corporativos. Para evitar detección por firmas, el malware copia los metadatos y recursos de versión del agente real de ESET, incluyendo nombres de empresa y producto, mientras que sus funciones exportadas son simples estantes que redirigen llamadas a una biblioteca inexistente (dpapisvc.dll), lo que sugiere una implementación incompleta o una versión temprana del código.
La característica más distintiva de SLEEPWALKER es su naturaleza pasiva. A diferencia de los backdoors tradicionales que se conectan activamente a un servidor de comando y control (C2), este implantado no contacta con ningún servidor fijo. En su lugar, sniffea todas las interfaces de red en busca de un paquete desencadenante específico. Este paquete no contiene comandos legibles, sino bytecode cifrado con AES-256-CCM que solo el propio backdoor puede interpretar gracias a un intérprete interno de 23 instrucciones. Estas instrucciones permiten al atacante programar tareas, mover datos, entregar archivos en etapas con verificación SHA-256 y ejecutar código directamente en la memoria.
Desde la perspectiva del análisis de red, SLEEPWALKER es extremadamente difícil de detectar porque no genera tráfico saliente anómalo hasta que el operador decide activarlo. El paquete desencadenante puede viajar a través de múltiples canales encubiertos, incluyendo consultas DNS maliciosas, lo que permite que se mezcle con el tráfico ordinario. Además, el malware posee capacidades de movimiento lateral avanzadas, utilizando tuberías nombradas de SMB con credenciales proporcionadas por el atacante y el canal VMCI interno de VMware para comunicarse entre máquinas virtuales y su host. Para facilitar esta comunicación no autenticada, SLEEPWALKER modifica activamente la configuración del sistema operativo, habilitando el acceso anónimo a SMB y creando tuberías nombradas con permisos otorgados a 'Everyone' y 'Anonymous Logon', debilitando así las defensas locales de la víctima.
El uso de una copia estáticamente enlazada de la biblioteca criptográfica open-source mbedTLS indica un esfuerzo por mantener el malware autocontenido, aunque los investigadores señalan que la ingeniería del código presenta varias debilidades, lo que podría indicar que se trata de una versión inicial o experimental. La ausencia de atribución clara a un actor específico, combinada con la sofisticación técnica y el enfoque en infraestructura de gestión de seguridad (ESET), sugiere fuertemente que SLEEPWALKER es parte de una campaña de ataque dirigido contra organizaciones específicas, posiblemente para establecer una presencia persistente y encubierta.
En conclusión, la aparición de SLEEPWALKER marca un cambio en la estrategia de los atacantes, priorizando la persistencia pasiva y la obfuscación sobre la actividad ruidosa. Los defensores deben estar atentos no solo al tráfico saliente, sino también a la integridad de los procesos legítimos como ERAAgent.exe y a las modificaciones en las políticas de permisos locales. La capacidad de este backdoor para esperar indefinidamente antes de actuar lo convierte en una amenaza latente significativa, requiriendo nuevas heurísticas de detección que se centren en el comportamiento inusual de los binarios firmados o renombrados y en la presencia de intérpretes de bytecode no estándar en procesos administrativos.