Windows-Sicherheit: Warum Antiviren-Programme die Sleepwalker-Backdoor übersehen

Gewöhnliche Schadprogramme verraten sich schnell durch verdächtige Netzwerkverbindungen. Eine neu entdeckte Bedrohung für Windows-Systeme wählt nun einen gänzlich anderen Ansatz und bleibt für klassische Firewalls unsichtbar.

Der Sicherheitsforscher Dominik Reichel hat eine neuartige Schadsoftware namens Sleepwalker entdeckt, die in erster Linie Windows-Systeme attackiert und IT-Verantwortliche vor neue Herausforderungen stellt. Wie Reichel auf seinem Blog r136a1.dev detailliert berichtet, handelt es sich dabei um eine rein passive Backdoor, die ohne Kommunikationswege zu einem externen Kontrollserver auskommt.

Anstatt eigenständig Datenpakete zu versenden, nistet sich diese Malware tief im Arbeitsspeicher ein und überwacht fortan den gesamten eingehenden Netzwerkverkehr auf Anomalien. Erst wenn ein exakt formatiertes und obendrein verschlüsseltes Datenpaket, ein sogenanntes Magic Packet, am infizierten Rechner registriert wird, erwacht die Schadsoftware aus ihrem unauffälligen Ruhezustand.

Um auf dem Zielsystem dauerhaft unentdeckt zu bleiben, missbraucht Sleepwalker ein eigentlich legitimes und vertrauenswürdiges Programm als Tarnkappe, nämlich die Management-Software des slowakischen Antiviren-Unternehmens ESET. Die Angreifer:innen nutzen dafür einen Trick namens DLL-Sideloading.

Dabei schieben sie der ESET-Software eine manipulierte Programmbibliothek unter. Diese Datei trägt den Namen der echten Windows-Schnittstelle „dpapi.dll“. Startet nun der ESET-Prozess auf dem infizierten Rechner, lädt er unwissentlich diese gefälschte Datei der Angreifer:innen anstelle des Windows-Originals.

Die Schadsoftware ist sogar so programmiert, dass sie nur dann aus ihrem Schlaf erwacht, wenn sie tatsächlich in genau diesem speziellen ESET-Prozess läuft. Durch diese Tarnung greifen viele herkömmliche Überwachungsmechanismen nicht mehr ein. Das Betriebssystem stuft die schädlichen Aktivitäten nicht als Bedrohung ein, da sie scheinbar von der vertrauenswürdigen ESET-Software ausgehen.

Jedes einzelne Kommando an die Backdoor ist mit dem modernen Verschlüsselungsverfahren AES-256-CCM geschützt, wodurch eine Entdeckung durch einfache Netzwerkanalysen unmöglich wird. Diese kryptografische Methode stellt sicher, dass der Inhalt im Verborgenen bleibt, und beweist der Malware gleichzeitig, dass die Nachricht nach ihrer Erstellung nicht manipuliert wurde.

Das bloße Auslesen des Schlüssels aus dem Speicher reicht für Sicherheitsexpert:innen nicht aus, um die genauen Absichten der Angreifer:innen lesen zu können. Die entschlüsselten Befehle liegen nach diesem Schritt nämlich nicht als Text vor, sondern erfordern ein aufwendiges Reverse-Engineering der proprietären Maschinensprache.

Wie The Register treffend zusammenfasst, verfügt die Backdoor über netzwerktechnische Fähigkeiten, die stark auf eine professionell agierende und ressourcenstarke Entwicklergruppe hindeuten.