Un truco de los noventa derriba Windows. La puerta trasera Sleepwalker resucita los «paquetes mágicos»

Un programa malicioso no necesita comunicarse con el servidor de los atacantes para permanecer bajo su control. El especialista Dominik Reichel descubrió una puerta trasera Sleepwalker hasta entonces desconocida para Windows, que funciona en silencio en la memoria y espera un paquete de red especialmente formado. Tras recibir la señal, el programa descifra el comando incrustado y comienza a ejecutarlo.

Sleepwalker se oculta dentro de una biblioteca DLL de 64 bits que se hace pasar por el archivo del sistema de Microsoft dpapi.dll. El módulo malicioso se carga mediante la sustitución de la biblioteca junto a ERAAgent.exe, un componente de ESET Management Agent. Tras iniciarse, Sleepwalker comprueba el nombre del proceso, permanece en la memoria y no establece la conexión saliente habitual con el servidor de control.

En lugar de una conexión saliente, la puerta trasera inspecciona los paquetes de red que pasan y busca una secuencia determinada, el denominado «paquete mágico». Los creadores de malware aplicaban activamente esta táctica de espera pasiva de comandos ya a finales de los años noventa. Volver a este método antiguo dificulta a las soluciones de seguridad modernas la detección basada en dominios sospechosos, puertos abiertos y tráfico saliente inusual. Un equipo infectado puede no mostrar actividad de red notable durante mucho tiempo.

Los comandos de Sleepwalker están protegidos con AES-256-CCM y utilizan un lenguaje binario propio de 23 instrucciones. Con ellos el operador puede transferir y ocultar datos, recibir nuevas órdenes, abrir puertos TCP y UDP, trabajar con canales con nombre de Windows, descargar archivos y ejecutar código directamente en la memoria. Algunas instrucciones permiten también comunicarse con objetivos VMware VMCI.

Reichel considera que el diseño de Sleepwalker indica una operación dirigida y bien financiada, pero por ahora no se puede confirmar el uso de la puerta trasera en un ataque real. El especialista no dispone de datos sobre víctimas, países o sectores en los que el módulo malicioso podría haber operado. Tampoco se conocen el vector inicial de infección, los desarrolladores de Sleepwalker ni una posible vinculación con grupos conocidos.

Para el análisis, Reichel preparó un conjunto de herramientas que ayuda a descomponer los comandos, los datos cifrados y los artefactos de red sin ejecutar las instrucciones maliciosas. Una guía separada describe las acciones tras el hallazgo de Sleepwalker y contiene un guion para la remediación de la infección. El principal riesgo está relacionado con el modo pasivo de la puerta trasera; por tanto, la ausencia de conexiones salientes sospechosas por sí sola no descarta una infección.