Backdoor SLEEPWALKER nutzt ESET Management Agent for Windows

Neben der heute von mir im Beitrag Windows: HardBreacher Kaspersky AV-0-Day von Nightmare Eclipse veröffentlicht angesprochenen 0-Day-Schwachstelle im Kaspersky-Virenschutz, gibt es eine Backdoor namens SLEEPWALKER, die den ESET Management Agenten in Windows-Systemen für Angriffe missbraucht. Ein Sicherheitsforscher hat das Ganze dokumentiert.

Ein unabhängiger Malware-Forscher hat eine bislang unbekannte Windows-Backdoor, die er als SLEEPWALKER bezeichnet, öffentlich gemacht. Mir ist die Information bereits die Tage über nachfolgenden Tweet untergekommen. The Hacker News hat das Thema in diesem Artikel aufgegriffen. Der Artikel von Sicherheitsforscher Dominik Reichelt, bis 2025 Malware-Analyst bei Palo Alto Networks ist hier abrufbar.

Die Backdoor SLEEPWALKER nutzt eine unsignierte 64-Bit-Windows-DLL (Dynamic Link Library) mit einer Größe von 59.904 Byte, die per Side-Loading in ERAAgent.exe geladen werden kann. ERAAgent.exe ist der ESET Management Agent für Windows.

Die schädliche Datei verwendet den Namen dpapi.dll (normalerweise eine legitime Windows-DLL für die Data Protection API, DPAPI). Die Fake DLL exportiert dieselben sieben Funktionen wie die echte Microsoft Systembibliothek und enthält eine Versionsressource, die aus dem ESET Management Agent kopiert wurde.

Laut Sicherheitsforscher enthält die schädliche DLL keine eingebetteten Domänen, IP-Adressen oder URLs und baut selbst keine ausgehenden Verbindungen auf. Dies soll sicherstellen, dass Sicherheitssoftware diese Datei auf einem infizierten Host nicht über ausgehende Verbindungen zu bekanntermaßen schädlicher Infrastruktur als Malware erkennen kann.

Die DLL erscheint zunächst als "sauber", ist aber eine "schlafende", passive Backdoor mit mit einem eigenen Befehlsinterpreter. SLEEPWALKER überwacht das Netzwerk auf ein verdecktes Datenpaket, welches den Auslösemechanismus triggert. Dann werden die Schadfunktionen aktiv, um ein vom Angreifer bereitgestelltes Task-Programm zu entschlüsseln und auszuführen. Das Programm wird als Bytecode übermittelt, den nur diese Datei interpretieren kann, und nicht als lesbare Befehle.

Da die 64-Bit-Windows-DLL sich als Microsofts dpapi.dll ausgibt und über eine gefälschte Versionsressource des ESET Management Agent verfügt, lässt sich sich per Side-Loading in ERAAgent.exe laden. Dadurch läuft die DLL mit den gleichen Rechten wie dieser Agent. ESET beschreibt den Agenten als wesentliche Komponente von ESET PROTECT und ESET PROTECT On-Prem. Aufgabe ist es, die verwaltete Endgeräte und Server mit der Verwaltungsplattform zu verbinden und Richtlinien lokal zu speichern un durchzusetzen.

SLEEPWALKER überprüft lediglich den Namen des Host-Prozesses, nicht dessen Signatur oder Pfad, und bleibt inaktiv, sofern dieser Name nicht ERAAgent.exe lautet. Ein auf diese Weise ausgelöster passives Implantat, welches laut Sicherheitsforscher mehrere verdeckte Transportmechanismen wie VMCI nutzt und durch Side-Loading in eine vertrauenswürdige ESET-Verwaltungskomponente eingeschleust wird, ist nach dessen Angabe höchstwahrscheinlich Teil eines gezielten Angriffs, der auch andere, nicht identifizierte Komponenten umfasst.

Da dem Sicherheitsforscher der Code völlig unbekannt ist und dieser den Code bisher noch nie gesehen habe, kann er diese Malware keinem bestimmten Akteur zuordnen. Dominik Reichelt hat im Artikel hier seine Erkenntnisse und den Indicator of Compromise dokumentiert. SLEEPWALKER kann nur auf Systemen wirksam werden, die den ESET Management Agent für Windows (ERAAgent.exe) verwenden.