Windows-Sicherheit: Warum Antiviren-Programme die Sleepwalker-Backdoor übersehen
Der Sicherheitsforscher Dominik Reichel hat eine neuartige Schadsoftware namens Sleepwalker entdeckt, die in erster Linie Windows-Systeme attackiert und IT-Verantwortliche vor neue Herausforderungen stellt. Wie Reichel auf seinem Blog r136a1.dev detailliert berichtet, handelt es sich dabei um eine rein passive Backdoor, die ohne Kommunikationswege zu einem externen Kontrollserver auskommt.
Anzeige
Anstatt eigenständig Datenpakete zu versenden, nistet sich diese Malware tief im Arbeitsspeicher ein und überwacht fortan den gesamten eingehenden Netzwerkverkehr auf Anomalien. Erst wenn ein exakt formatiertes und obendrein verschlüsseltes Datenpaket, ein sogenanntes Magic Packet, am infizierten Rechner registriert wird, erwacht die Schadsoftware aus ihrem unauffälligen Ruhezustand.
Tarnkappe durch gekaperte ESET-Prozesse
Um auf dem Zielsystem dauerhaft unentdeckt zu bleiben, missbraucht Sleepwalker ein eigentlich legitimes und vertrauenswürdiges Programm als Tarnkappe, nämlich die Management-Software des slowakischen Antiviren-Unternehmens ESET. Die Angreifer:innen nutzen dafür einen Trick namens DLL-Sideloading.
Anzeige
Dabei schieben sie der ESET-Software eine manipulierte Programmbibliothek unter. Diese Datei trägt den Namen der echten Windows-Schnittstelle „dpapi.dll“. Startet nun der ESET-Prozess auf dem infizierten Rechner, lädt er unwissentlich diese gefälschte Datei der Angreifer:innen anstelle des Windows-Originals.
Die Schadsoftware ist sogar so programmiert, dass sie nur dann aus ihrem Schlaf erwacht, wenn sie tatsächlich in genau diesem speziellen ESET-Prozess läuft. Durch diese Tarnung greifen viele herkömmliche Überwachungsmechanismen nicht mehr ein. Das Betriebssystem stuft die schädlichen Aktivitäten nicht als Bedrohung ein, da sie scheinbar von der vertrauenswürdigen ESET-Software ausgehen.
Empfohlene redaktionelle Inhalte
Hier findest du externe Inhalte von TargetVideo GmbH,
die unser redaktionelles Angebot auf t3n.de ergänzen.
Mit dem Klick auf "Inhalte anzeigen" erklärst du dich einverstanden,
dass wir dir jetzt und in Zukunft Inhalte von TargetVideo GmbH auf unseren Seiten anzeigen dürfen.
Dabei können personenbezogene Daten an Plattformen von Drittanbietern übermittelt werden.
Hinweis zum Datenschutz
Mehrschichtige Verschlüsselung der Befehle
Jedes einzelne Kommando an die Backdoor ist mit dem modernen Verschlüsselungsverfahren AES-256-CCM geschützt, wodurch eine Entdeckung durch einfache Netzwerkanalysen unmöglich wird. Diese kryptografische Methode stellt sicher, dass der Inhalt im Verborgenen bleibt, und beweist der Malware gleichzeitig, dass die Nachricht nach ihrer Erstellung nicht manipuliert wurde.
Das bloße Auslesen des Schlüssels aus dem Speicher reicht für Sicherheitsexpert:innen nicht aus, um die genauen Absichten der Angreifer:innen lesen zu können. Die entschlüsselten Befehle liegen nach diesem Schritt nämlich nicht als Text vor, sondern erfordern ein aufwendiges Reverse-Engineering der proprietären Maschinensprache.
Anzeige
Kommunikation über VMware-Kanäle
Wie The Register treffend zusammenfasst, verfügt die Backdoor über netzwerktechnische Fähigkeiten, die stark auf eine professionell agierende und ressourcenstarke Entwicklergruppe hindeuten. Sleepwalker kann für die verdeckte Kommunikation das interne Virtual-Machine-Communication Interface des Softwareunternehmens VMware ansprechen.
Dieser spezielle Kanal ermöglicht den direkten und unsichtbaren Datenaustausch zwischen einer virtuellen Maschine und dem zugrundeliegenden Host-System, ohne dass der Datenverkehr jemals eine physische Netzwerkkarte durchqueren muss. Dadurch tauchen die schadhaften Steuerbefehle in keinem herkömmlichen Netzwerkprotokoll auf und entgehen der klassischen Abwehr eines Rechenzentrums.
Alternative Steuerung über DNS-Abfragen
Neben dem primären Weg über das Magic Packet haben die Programmierer:innen eine zweite Methode entwickelt. Diese versteckt die schädlichen Befehle in gewöhnlichen Adressabfragen des Internets, den sogenannten DNS-Anfragen.
Anzeige
Fast jedes Firmennetzwerk lässt diesen Datenverkehr durch seine Firewalls passieren, da ohne ihn keine Webseiten aufgerufen werden können. Sleepwalker macht sich diese technische Notwendigkeit zunutze und tarnt Instruktionen einfach als harmlose Internetadressen.
Ein Steuerbefehl wird dafür in reinen Text umgewandelt und fungiert dann als vorgeschalteter Teil eines Domainnamens. Die Abwehrsysteme registrieren lediglich den vermeintlich legitimen Aufruf einer Adresse und schlagen keinen Alarm.
Die mitlesende Schadsoftware erkennt jedoch die geheime Botschaft im Namen der Adresse und führt das Kommando aus. Diese raffinierte Funktion ist laut Reichel in der untersuchten Programmversion bereits vollständig integriert, war aber noch nicht scharfgeschaltet.
Anzeige
KI-Einsatz bei der Malware-Analyse
Bei der komplexen Entschlüsselung dieser neuen Kommandosprache setzte Reichel auf die Unterstützung durch aktuelle Modelle der Künstlichen Intelligenz. Der erfahrene Sicherheitsforscher nutzte die großen Sprachmodelle von Anthropic und OpenAI, um den langwierigen Code-Analyseprozess maßgeblich zu beschleunigen.
Obwohl diese neuartigen Werkzeuge den Zeitaufwand für die detaillierte Begutachtung der Schadsoftware deutlich reduzierten, kritisierte Reichel die strengen Sicherheitsfilter mancher KI‑Anbieter. Diese restriktiven Filter unterbrachen die legale Forschungsarbeit mehrfach, weshalb der Experte nun fordert, dass staatlich oder institutionell verifizierte Analyst:innen weitreichendere Zugriffsrechte erhalten sollten.
Top-Artikel
${content}
${custom_anzeige-badge}
${custom_tr-badge}
${section}
${title}
${custom_anzeige-badge}
${custom_tr-badge}
${section}
${title}
Trotz der detaillierten technischen Aufarbeitung durch den Forscher bleiben offene Punkte zur globalen Verbreitung und zum genauen Ursprung der Sleepwalker-Bedrohung. Bislang existieren keine belastbaren Nachweise dafür, wie die unbekannten Täter:innen den erforderlichen anfänglichen administrativen Zugriff auf die geschützten Unternehmenssysteme erlangen konnten.
Anzeige
Ebenso fehlt das Wissen über die Identität der Urheber:innen sowie über den finalen strategischen Einsatzzweck dieser hochgradig spezialisierten Softwarearchitektur. IT-Sicherheitsverantwortliche in Unternehmen können ihre Infrastruktur vorerst nur durch den Abgleich mit Reichels öffentlich bereitgestellten digitalen Fingerabdrücken auf eine mögliche Infektion durchleuchten.
Startseite