Sleepwalker: Backdoor versteckt sich äußerst gut in Windows-Systemen

Eine bislang unbekannte Windows-Backdoor namens Sleepwalker kann sich unauffällig im Arbeitsspeicher eines infizierten Rechners verstecken und dort auf ein speziell präpariertes Datenpaket warten, mit dem sie aktiviert wird.

Fällt kaum auf

Entdeckt und analysiert wurde die Backdoor durch den Malware-Forscher Dominik Reichel. Sleepwalker unterscheidet sich demnach deutlich von vielen klassischen Backdoors. Die Schadsoftware nimmt nicht von sich aus Kontakt zu einem Command-and-Control-Server auf und öffnet standardmäßig auch keinen auffälligen Netzwerk-Port. Stattdessen untersucht sie den Datenverkehr nach einem bestimmten Muster. Wird das passende Paket gefunden, entschlüsselt die Malware dessen Inhalt und führt die darin enthaltenen Anweisungen aus.

Besonders ungewöhnlich ist dabei das eigene Befehlsformat der Malware. Sleepwalker verwendet eine aus 23 Instruktionen bestehende Programmiersprache, deren Befehle als kurze Bytefolgen übertragen werden. Sie erlaubt unter anderem die Ausführung von Code direkt im Arbeitsspeicher, das Verschieben von Daten, den Empfang weiterer Aufgaben sowie das Erzeugen und Starten von Programmen.


Die Schadsoftware steckt in einer 64-Bit-DLL, die sich als Microsofts dpapi.dll ausgibt. Dabei imitiert sie die sieben exportierten Funktionen der legitimen Windows-Komponente und versucht, Aufrufe an eine nicht existierende Datei namens dpapisvc.dll weiterzuleiten. Über sogenanntes DLL-Sideloading wird Sleepwalker anschließend über die ausführbare Datei des ESET Management Agent geladen. Nach der Prüfung, ob der Prozess tatsächlich ERAAgent.exe heißt, zieht sich die Backdoor in den Arbeitsspeicher zurück.

Herkunft unklar

Für die Tarnung ist dieses Vorgehen besonders effektiv: Weil Sleepwalker keine ausgehenden Verbindungen benötigt, können klassische Überwachungsmechanismen die Malware leicht übersehen. Noch ist allerdings unklar, wer hinter der Schadsoftware steckt und wie sie auf Systeme gelangt. Reichel konnte bislang keinen konkreten Angriff, kein Opfer und keine bekannte Gruppierung mit Sleepwalker in Verbindung bringen. Auch über mögliche Varianten oder eine laufende Kampagne gibt es keine gesicherten Erkenntnisse.

Der Forscher hat nach eigenen Angaben Werkzeuge entwickelt, mit denen sich Sleepwalkers Bytecode und Netzwerkdaten untersuchen lassen, ohne die Befehle tatsächlich auszuführen. Zusätzlich steht ein Leitfaden zur Eindämmung bereit.


Siehe auch: