Der Sicherheitsforscher Dominik Reichel hat eine neuartige Schadsoftware namens Sleepwalker entdeckt, die in erster Linie Windows-Systeme attackiert und IT-Verantwortliche vor neue Herausforderungen stellt. Wie Reichel auf seinem Blog r136a1.dev detailliert berichtet, handelt es sich dabei um eine rein passive Backdoor, die ohne Kommunikationswege zu einem externen Kontrollserver auskommt.Anzeige
Anstatt eigenständig Datenpakete zu versenden, nistet sich diese Malware tief im Arbeitsspeicher ein und überwacht fortan den gesamten eingehenden Netzwerkverkehr auf Anomalien. Erst wenn ein exakt formatiertes und obendrein verschlüsseltes Datenpaket, ein sogenanntes Magic Packet, am infizierten Rechner registriert wird, erwacht die Schadsoftware aus ihrem unauffälligen Ruhezustand.
Tarnkappe durch gekaperte ESET-Prozesse
Um auf dem Zielsystem dauerhaft unentdeckt zu bleiben, missbraucht Sleepwalker ein eigentlich legitimes und vertrauenswürdiges Programm als Tarnkappe, nämlich die Management-Software des slowakischen Antiviren-Unternehmens ESET. Die Angreifer:innen nutzen dafür einen Trick namens DLL-Sideloading.Anzeige
Dabei schieben sie der ESET-Software eine manipulierte Programmbibliothek unter. Diese Datei trägt den Namen der echten Windows-Schnittstelle „dpapi.dll“. Startet nun der ESET-Prozess auf dem infizierten Rechner, lädt er unwissentlich diese gefälschte Datei der Angreifer:innen anstelle des Windows-Originals.
