Pengguna Windows perlu mewaspadai backdoor baru bernama SLEEPWALKER. Malware ini memiliki cara kerja yang berbeda dari ancaman siber pada umumnya karena dapat tetap pasif di memori hingga menerima paket jaringan yang dibuat secara khusus.

SLEEPWALKER ditemukan dalam sebuah DLL Windows 64-bit berukuran sekitar 59 KB. Malware ini memanfaatkan teknik DLL side-loading melalui ERAAgent.exe, executable yang digunakan ESET Management Agent. Untuk menyamarkan diri, SLEEPWALKER menggunakan nama dpapi.dll dan mengekspor fungsi yang sama seperti library asli Microsoft.

SLEEPWALKER Bisa Bersembunyi di Perangkat Windows

Teknik yang digunakan membuat malware terlihat seperti komponen yang sah. Namun, analisis menunjukkan bahwa SLEEPWALKER tidak memanfaatkan kerentanan pada produk ESET, melainkan mekanisme pencarian DLL pada Windows.

Beberapa karakteristiknya meliputi:

• Berupa DLL Windows 64-bit tanpa tanda tangan digital.
• Menggunakan nama dpapi.dll untuk menyamarkan diri.
• Dirancang untuk di-side-load melalui ERAAgent.exe.
• Dapat dimuat kembali ketika layanan ESET Management Agent berjalan.
• Memerlukan hak administrator lokal untuk ditempatkan pada direktori yang sesuai.

Karena itu, SLEEPWALKER lebih tepat dikategorikan sebagai post-compromise implant, bukan alat untuk mendapatkan akses awal ke perangkat. Bagaimana pelaku pertama kali memperoleh akses masih belum diketahui.

Baca Juga: Pengguna Windows Wajib Waspada, Ada 3 Celah Keamanan Baru

Backdoor Ini Bisa Diam hingga Menerima Paket Khusus

Salah satu karakteristik SLEEPWALKER yang paling menarik adalah kemampuannya menunggu secara pasif. Malware tidak memiliki domain, alamat IP, atau URL yang tertanam di dalam file dan tidak membuat koneksi keluar sendiri.

Konfigurasinya didekripsi menggunakan AES-256-CCM untuk menentukan instruksi pemantauan jaringan. Pada sampel yang dianalisis, SLEEPWALKER menggunakan raw-packet listener untuk menunggu paket pemicu.

Artinya:

• Malware dapat tetap pasif sebelum menerima paket tertentu.
• Lalu lintas pada antarmuka jaringan dapat dipantau.
• Paket yang ditujukan ke perangkat lain juga dapat ikut terlihat.
• Kode untuk pemicu berbasis DNS tersedia, tetapi tidak aktif pada sampel tersebut.

Karakteristik ini dapat menyulitkan deteksi yang hanya mengandalkan pemantauan koneksi ke alamat berbahaya yang sudah dikenal.

SLEEPWALKER Bisa Jalankan Berbagai Perintah

Setelah terpicu, SLEEPWALKER menjalankan perintah dalam bentuk bytecode menggunakan bahasa yang memiliki 23 instruksi khusus. Pendekatan tersebut membuat aktivitas malware lebih sulit dianalisis karena perintah tidak disimpan sebagai teks biasa.

Instruksi yang tersedia mencakup:

• Menjadwalkan aktivitas.
• Memindahkan data.
• Mengirim file secara bertahap.
• Memverifikasi file menggunakan hash SHA-256.
• Menjalankan kode langsung di memori.
• Menggunakan TCP, UDP, ICMP, SMB named pipe, raw capture, dan VMware VMCI sebagai jalur komunikasi.

Kemampuan menjalankan kode langsung di memori juga dapat mengurangi aktivitas penulisan file yang biasanya menjadi salah satu indikator bagi sistem keamanan.

Baca Juga: Windows Kena Serangan Zero-Day, Segera Lakukan Ini!

Tanda yang Perlu Diperiksa Pengguna Windows

Peneliti telah mempublikasikan sejumlah indikator yang dapat digunakan untuk mendeteksi SLEEPWALKER. Namun, perubahan registry sebaiknya dibandingkan dengan baseline perangkat yang diketahui bersih agar tidak salah dianggap sebagai infeksi.

Indikator tersebut, antara lain:

• dpapi.dll yang tidak dikenal di samping ERAAgent.exe.
• dpapisvc.dll yang tidak semestinya berada di direktori yang sama.
• SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60.
• MD5: 2318327b29bb1c0e2d2b5f0211fc7fac.
• EveryoneIncludesAnonymous bernilai 1.
• Entri tidak dikenal pada NullSessionPipes.

Peneliti juga menyediakan aturan YARA dan scanner PowerShell read-only. Meski demikian, aturan YARA dapat terpengaruh oleh perubahan compiler atau cara malware dibangun kembali.

Apa yang Harus Dilakukan?

Jika ditemukan indikator yang sesuai, pemeriksaan sebaiknya tidak hanya berfokus pada penghapusan file. Administrator perlu mencari sumber kompromi, memeriksa perangkat lain, serta meninjau aktivitas yang terjadi sebelum malware ditemukan.

Langkah yang dapat dilakukan meliputi:

• Memeriksa DLL yang tidak dikenal pada direktori aplikasi.
• Membandingkan perubahan registry dengan baseline.
• Melakukan threat hunting menggunakan hash yang tersedia.
• Meninjau aktivitas administrator yang mencurigakan.
• Mengisolasi perangkat yang menunjukkan indikator kompromi.
• Melakukan respons insiden dan rebuild jika infeksi telah dikonfirmasi.

Temuan SLEEPWALKER menunjukkan bahwa malware tidak selalu harus membuat koneksi mencurigakan untuk tetap berbahaya. Dengan menyamar sebagai library yang sah dan menunggu pemicu tertentu, backdoor dapat bertahan tanpa mudah terlihat. Karena itu, pemantauan file, proses, registry, hak akses, dan aktivitas jaringan perlu dilakukan secara bersamaan untuk mendeteksi ancaman lebih awal.