SLEEPWALKER, backdoor Windows invisibile via DLL sideloading

Scoprire una nuova minaccia informatica che riesce a rimanere invisibile ai sistemi di sicurezza tradizionali è sempre motivo di allarme per chi lavora nella cybersecurity. È il caso di SLEEPWALKER, una backdoor Windows recentemente analizzata dal ricercatore R136a1 e condivisa attraverso Cyber Security News. Questa minaccia rappresenta un salto di qualità nelle tecniche di evasione, perché non si comporta come i malware classici: non contatta server di comando e controllo in modo regolare, non genera traffico sospetto rilevabile e resta silenziosa fino a quando non riceve un segnale specifico e crittografato. Vediamo insieme come funziona, perché è così difficile da individuare e quali contromisure adottare.

Cos’è SLEEPWALKER e come si installa

SLEEPWALKER è una backdoor a 64-bit che si maschera da componente legittimo di sistema. Il file si presenta come una DLL con nomi che imitano librerie Windows autentiche, come dpapi.dll o dpapisvc.dll. Questa scelta non è casuale: serve a confondersi con l’ambiente operativo e sfuggire ai controlli superficiali.

Il meccanismo di installazione sfrutta una tecnica nota come DLL sideloading. In pratica, la libreria malevola viene posizionata nella stessa cartella di ERAAgent.exe, l’agente di gestione di ESET. Quando il processo legittimo si avvia, carica inconsapevolmente anche la DLL malevola. Non si tratta di una vulnerabilità del software ESET, ma di un abuso intelligente del normale processo di caricamento delle librerie.

Un dettaglio interessante: la DLL controlla il nome del processo host prima di attivarsi. Questo significa che non si esegue in ambienti diversi da quello previsto, riducendo il rischio di essere scoperta durante analisi generiche o sandbox non mirate.

Perché SLEEPWALKER è quasi invisibile ai sistemi di sicurezza

La caratteristica più preoccupante di questa backdoor è il suo comportamento passive-first. A differenza della maggior parte dei malware, che comunicano periodicamente con un server esterno (il cosiddetto beaconing), SLEEPWALKER resta completamente silente in memoria.

Il sistema attende un trigger di rete specifico, validato attraverso tre livelli di controllo:

Se anche uno solo di questi controlli fallisce, la backdoor non risponde. Nessun errore, nessun ACK, nessun segnale di vita. Questa politica di fail-silent rende inutile qualsiasi tentativo di scoperta tramite scanning attivo o probing della rete: chi cerca di individuare la minaccia sondando le porte o inviando pacchetti casuali non otterrà mai una risposta.

Un interprete che vive solo in memoria

SLEEPWALKER integra un motore di esecuzione basato su un bytecode proprietario di 23 istruzioni. Questo interprete gestisce scheduling delle attività, staging dei payload, comunicazione ed esecuzione dei comandi, tutto rigorosamente in memoria. Non scrive file eseguibili persistenti sul disco, rendendo l’attività praticamente invisibile alle analisi forensi basate sul file system.

Canali di comunicazione non convenzionali

Un altro aspetto tecnico che rende SLEEPWALKER particolarmente insidioso riguarda la varietà di canali che può utilizzare per ricevere i trigger e comunicare:

Nel campione analizzato è presente anche del codice per un trigger basato su query DNS, anche se non risulta ancora attivato. Questo suggerisce che gli sviluppatori della backdoor stiano preparando un vettore futuro, forse pensato per l’esfiltrazione di dati mascherata dentro il traffico DNS, tecnica già vista in altre campagne di attacco.

Il rischio per i SOC e i team di sicurezza

Per chi gestisce la sicurezza di un’infrastruttura aziendale, SLEEPWALKER rappresenta una sfida concreta. I modelli di difesa tradizionali si basano principalmente su:

  1. Rilevamento di beaconing verso domini sospetti
  2. Analisi delle anomalie nel traffico di uscita (egress)
  3. Blocco di indirizzi IP o domini noti come malevoli
  4. Monitoraggio delle porte in ascolto

Nessuna di queste tecniche funziona efficacemente contro una minaccia che resta silente e risponde solo a trigger crittografati. Anche gli strumenti EDR (Endpoint Detection and Response) rischiano di non intercettare l’attività se la telemetria di memoria non è abilitata o analizzata correttamente, dato che l’esecuzione è completamente fileless.

Va detto che l’attribuzione di questa minaccia resta incerta: al momento non ci sono collegamenti confermati con gruppi APT noti, né campagne multiple documentate. Si tratta apparentemente di un sample isolato, ma la semplicità dello schema di sideloading (basta posizionare la DLL nella cartella giusta) fa temere una possibile proliferazione.

Come proteggersi: consigli pratici per i threat hunter

Difendersi da una minaccia come SLEEPWALKER richiede un approccio proattivo. Ecco alcune azioni concrete da mettere in pratica:

Controlli sui file e sulle directory

Monitoraggio della rete e dei processi

Hardening delle configurazioni SMB

Gestione degli ambienti virtualizzati

Se la vostra infrastruttura utilizza VMware, valutate se il canale VMCI è realmente necessario. In caso contrario, disabilitatelo per ridurre la superficie di attacco disponibile.

Conclusione

SLEEPWALKER dimostra come le tecniche di attacco stiano evolvendo verso approcci sempre più silenziosi e difficili da rilevare. La combinazione di DLL sideloading su software di gestione legittimo, attivazione passiva crittografata e un interprete in memoria crea uno scenario in cui i metodi di difesa tradizionali perdono gran parte della loro efficacia.

Per i team di sicurezza, il messaggio è chiaro: bisogna rafforzare i controlli di integrità sui componenti software gestionali, monitorare canali di comunicazione spesso trascurati come ICMP, named pipe e traffico DNS, e investire nell’analisi della memoria attraverso strumenti EDR aggiornati. Condividere tempestivamente indicatori di compromissione e regole di rilevamento con la community della sicurezza informatica resta fondamentale, soprattutto quando si affrontano minacce ancora poco documentate ma potenzialmente pericolose come questa.