ساختار فنی بکدور SLEEPWALKER
نمونه مورد بررسی، یک کتابخانه پویا (DLL) بدون امضای دیجیتال و 64 بیتی برای ویندوز است که حجمی معادل 59,904 بایت دارد. بکدور SLEEPWALKER به‌گونه‌ای طراحی شده است که از طریق بارگذاری جانبی DLL در فایل ERAAgent.exe اجرا شود. ERAAgent.exe فایل اجرایی ویندوز مربوط به عامل مدیریت ESET (ESET Management Agent) است.
این DLL خود را به‌جای کتابخانه dpapi.dll مایکروسافت معرفی می‌کند و همان 7 تابع مرتبط با حفاظت از داده‌ها را که در کتابخانه اصلی ویندوز وجود دارد، در اختیار سیستم قرار می‌دهد. همچنین اطلاعات نسخه فایل نیز از عامل مدیریت ESET کپی شده است.
یکی از ویژگی‌های قابل‌توجه این نمونه، عدم وجود هرگونه نام دامنه، آدرس IP یا URL در ساختار فایل است. همچنین این بدافزار هیچ ارتباط خروجی مستقیمی با سرور یا زیرساخت خارجی برقرار نمی‌کند. به همین دلیل، سیستم آلوده ممکن است در نگاه ابزارهای امنیتی که ارتباطات با زیرساخت‌های مخرب شناخته‌شده را بررسی می‌کنند، کاملاً عادی به نظر برسد.
دستورهای مورد استفاده این بدافزار نیز به‌صورت متن خوانا نیستند، بلکه در قالب بایت‌کد (Bytecode) رمزگذاری و منتقل می‌شوند. به همین دلیل، حتی با بازیابی کلید رمزنگاری، تحلیل این دستورها همچنان به استخراج و تفسیر کدهای عملیاتی (Opcodes) نیاز دارد. این کدها از یک قالب اختصاصی استفاده می‌کنند و تاکنون نمونه مشابهی از این ساختار خارج از فایل مورد بررسی شناسایی نشده است.
پژوهشگران شرکت Palo Alto Networks بر این باورند که این رویکرد، بیشتر به یک عملیات هدفمند با پشتیبانی منابع و توانمندی‌های قابل‌توجه شباهت دارد تا یک حمله فرصت‌طلبانه. با این حال، این ارزیابی تنها بر اساس یک فایل باینری انجام شده است و اطلاعاتی درباره نحوه به‌دست‌آمدن یا جمع‌آوری آن در دسترس نیست. پژوهشگران نتوانسته‌اند این نمونه را به مهاجم یا گروه شناخته‌شده‌ای نسبت دهند و اطلاعات مشخصی درباره قربانی، صنعت هدف یا کشور موردنظر نیز به دست نیامده است. همچنین مشخص نیست که این نمونه تاکنون در یک محیط واقعی مستقر شده است یا خیر.
پیکربندی داخلی و نحوه شناسایی بسته فعال‌سازی
پیکربندی داخلی این بدافزار پس از رمزگشایی با الگوریتم AES-256-CCM، به یک دستورالعمل واحد تبدیل می‌شود. این دستورالعمل باعث می‌شود که بکدور به‌طور مداوم ترافیک ورودی و خروجی تمام رابط‌های شبکه سیستم را بررسی کرده و در میان بسته‌های شبکه، بسته ویژه فعال‌سازی خود را شناسایی کند.
این ترافیک می‌تواند شامل بسته‌هایی باشد که مقصد آن‌ها سیستم دیگری است. برای مثال، اگر یک سیستم آلوده نقش گیت‌وی شبکه، سرور VPN یا واسط میان دو بخش شبکه را داشته باشد، بدافزار می‌تواند بسته‌هایی را دریافت کند که در اصل برای سیستم دیگری ارسال شده‌اند.
در نتیجه، دریافت بسته فعال‌سازی به ترافیک مستقیم سیستم آلوده محدود نمی‌شود. هر میزبان که در مسیر این ترافیک قرار داشته باشد، ممکن است بسته‌ای را دریافت کند که در اصل برای دستگاه دیگری در همان مسیر شبکه ارسال شده است.
این بدافزار برای شناسایی پردازه میزبان، تنها نام پردازه را بررسی می‌کند و امضای دیجیتال یا مسیر فایل آن را بررسی نمی‌کند. قرار دادن فایل DLL در این دایرکتوری به دسترسی ادمین لوکال نیاز دارد، بنابراین مهاجم باید پیش از استقرار بکدور از این سطح دسترسی برخوردار باشد. این بدافزار برای کسب این سطح از دسترسی به‌صورت مستقل اقدامی انجام نمی‌دهد و فعالیت‌های خود را با کانتکست(context) امنیتی پردازه میزبان اجرا می‌کند.
به همین دلیل، بکدور SLEEPWALKER در دسته ایمپلنت‌های پس از نفوذ قرار می‌گیرد و برای دسترسی اولیه به سیستم طراحی نشده است. در حال حاضر مشخص نیست مهاجم از چه روشی برای دسترسی اولیه به سیستم استفاده کرده و چگونه DLL مخرب را در دایرکتوری مربوط به نرم‌افزار قرار داده است.
بارگذاری جانبی DLL، تنها مکانیزم پایداری بدافزار در سیستم
بارگذاری جانبی تنها مکانیزم پایداری(persistence) این نمونه محسوب می‌شود. DLL مخرب با هر بار راه‌اندازی سرویس عامل مدیریتESET ، نیز دوباره بارگذاری می‌شود.
این روش استقرار به ترتیب جست‌وجوی DLL در ویندوز متکی است و از هیچ آسیب‌پذیری یا ضعف امنیتی در نرم‌افزار ESET سوءاستفاده نمی‌کند. در نتیجه، برای این تکنیک پچ مشخصی وجود ندارد. در صورت تأیید آلودگی، سازمان باید پاسخ‌گویی به رخداد (Incident Response) را آغاز کند و در صورت نیاز، سیستم را از ابتدا راه‌اندازی و پیکربندی کند.
استفاده از محصولات ESET برای بارگذاری جانبی DLL پیش از این نیز در حملات سایبری مشاهده شده است.
شرکت کسپرسکی پیش‌تر اعلام کرده بود که گروه ToddyCat با سوءاستفاده از ضعف امنیتی موجود در ترتیب جست‌وجوی DLL در ابزار اسکن خط فرمان این شرکت، یک DLL مخرب را در محصولات ESET بارگذاری کرده است.
ارزیابی امنیتی ESET
ESET پس از انتشار این پژوهش در بیانیه‌ای اعلام کرد که به‌صورت فعال در حال بررسی یافته‌های مطرح‌شده و ارزیابی مراحل حمله‌ای است که در این پژوهش تشریح شده‌اند تا مشخص شود این روش در پیکربندی‌های مختلف محصولات ESET و سیستم‌عامل‌ها چگونه عمل می‌کند. این شرکت ریسک امنیتی این سناریو را نسبتاً پایین ارزیابی کرد.
ESET توضیح داد که قرار دادن یک DLL در دایرکتوری عامل مدیریت ESET از ابتدا به دسترسی ادمین نیاز دارد. به گفته ESET، مهاجمی که به چنین سطحی از دسترسی دست پیدا کرده باشد، عملاً کنترل سیستم را در اختیار خواهد داشت و می‌تواند اقدامات مختلفی انجام دهد، از جمله:
- تغییر یا حذف کامل برنامه‌های نصب‌شده
- دستکاری کامپوننت‌های سیستم‌عامل
- غیرفعال‌کردن مکانیزم‌های امنیتی
- استقرار بدافزار از روش‌های مختلف
همچنین ESET تأکید کرد که این تکنیک امکان دسترسی اولیه یا افزایش سطح دسترسی (Privilege Elevation) را برای مهاجم فراهم نمی‌کند و قابلیت‌هایی فراتر از سطح دسترسی موجود مهاجم، پیش از نصب عامل مدیریت ESET در اختیار او قرار نمی‌دهد.
این شرکت افزود که در استقرارهای متداول، زمانی که عامل مدیریت ESET در کنار یکی از محصولات امنیتی ESET نصب می‌شود، فناوری حفاظت در برابر تغییرات غیرمجاز (Self-Defense) از فایل‌ها و دایرکتوری‌های محافظت‌شده در برابر تغییرات غیرمجاز محافظت می‌کند. این فناوری حتی از تغییر این فایل‌ها و دایرکتوری‌ها توسط کاربرانی با دسترسی ادمین نیز جلوگیری می‌کند.
همچنین ESET اعلام کرد که تاکنون فایل dpapi.dll مورد اشاره در این پژوهش یا هیچ نمونه قابل‌شناسایی دیگری از آن که عامل مدیریت ESET را هدف قرار دهد، در داده‌های تله‌متری این شرکت مشاهده نشده است. به گفته ESET، این یافته با ارزیابی پژوهشگران شرکت Palo Alto Networks درباره هدفمند بودن استفاده از بکدور SLEEPWALKER همخوانی دارد.
ESET تا 26 آگوست 2026، هیچ اطلاعیه امنیتی (Security Advisory) یا بیانیه عمومی درباره این بدافزار منتشر نکرده بود.
معماری ارتباطی و قابلیت‌های اجرایی بدافزار
زبان اختصاصی از بکدور SLEEPWALKER شامل 23 دستورالعمل است که قابلیت‌هایی مانند زمان‌بندی، انتقال داده با چند روش مختلف، تحویل مرحله‌ای فایل بررسی هش SHA-256 پیش از اجرای فایل را فراهم می‌کند. همچنین این زبان امکان اجرای مستقیم کد در حافظه را در اختیار مهاجم قرار می‌دهد.
این دستورالعمل‌ها از 6 کانال انتقال پشتیبانی می‌کنند که شامل TCP، UDP، ICMP، پایپ‌های نام‌گذاری‌شده SMB همراه با حرکت جانبی مبتنی (Lateral Movement) بر اعتبارنامه، دریافت خام بسته‌ها در حالت بی‌قاعده (Promiscuous Mode) و رابط ارتباطی ماشین مجازی VMware است.
ترافیک VMCI در لایه مجازی‌سازی منتقل می‌شود و ارتباطی با رابط شبکه ندارد. در نتیجه، ابزارهای معمول ثبت بسته‌های شبکه (Packet Capture) که ارتباط میان دو ماشین را از مسیر شبکه بررسی می‌کنند، نمی‌توانند ترافیک VMCI را مشاهده کنند.
گروه UNC3886 نیز پیش‌تر در حملاتی که Mandiant مستند کرده است، از سوکت‌های VMCI برای ایجاد پایداری میان میزبان‌های آلوده ESXi و ماشین‌های مجازی مهمان آن‌ها استفاده کرده بود.
هیچ‌یک از دستورالعمل‌های این زبان قابلیت نوشتن روی دیسک را ندارند. بنابراین، هر فایل یا داده‌ای که بکدور برای اجرای فعالیت‌های خود روی سیستم آلوده نیاز داشته باشد، باید توسط کامپوننت دیگری روی سیستم قرار داده شود.
از میان 23 دستورالعمل، دو مورد بسته فعال‌سازی را بررسی می‌کنند. کد عملیاتی فعال در نمونه مورد بررسی، تنها قابلیت دریافت و بررسی بسته‌های خام شبکه را فعال می‌کند. در مقابل، کد عملیاتی دیگری نیز در فایل باینری وجود دارد که قابلیت فعال‌سازی بسته فعال‌سازی مبتنی بر DNS را فراهم می‌کند؛ با این حال، این قابلیت در بیلد مورد بررسی فعال نیست.
برای اینکه فراخوانی‌های فاقد احراز هویت بتوانند به کانال پایپ نام‌گذاری‌شدهدسترسی پیدا کنند، SLEEPWALKER مقدار EveryoneIncludesAnonymous را در رجیستری تنظیم می‌کند و نام پایپ خود را نیز به مقدار NullSessionPipes اضافه می‌کند.
سازوکار پاک‌سازی بدافزار فقط بررسی می‌کند که آیا تغییر موردنظر در مقدار NullSessionPipes با موفقیت ثبت شده است یا خیر. این سازوکار وجود ورودی موردنظر پیش از آلودگی در رجیستری را بررسی نمی‌کند. در نتیجه، ممکن است همان ورودی قانونی نیز هنگام پاک‌سازی حذف شود.
شاخص‌های شناسایی بکدور SLEEPWALKER
پژوهشگران شرکت Palo Alto Networks مجموعه‌ای از شاخص‌های شناسایی روی میزبان را برای شناسایی بکدور SLEEPWALKER معرفی کرده‌اند. مهم‌ترین این شاخص‌ها عبارتند از:
- وجود یک فایل dll مشکوک در کنار ERAAgent.exe
- وجود یک فایل dll مشکوک در همان دایرکتوری
- SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
- MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
- تنظیم مقدار EveryoneIncludesAnonymous روی 1
- وجود یک ورودی مشکوک در NullSessionPipes
این دو مقدار رجیستری زمانی قابل استناد هستند که با وضعیت عادی و سالم سیستم مقایسه شوند. بنابراین، وجود آن‌ها به‌تنهایی به معنای آلودگی سیستم نیست.
همچنین در این پژوهش، یک قانون YARA و یک اسکنر پاورشل فقط‌خواندنی (Read-Only PowerShell Scanner) ارائه شده است که برای شناسایی این شاخص‌ها در سراسر محیط سازمان قابل استفاده هستند.
همچنین پژوهشگران اشاره کرده‌اند که قانون YARA تا حدی به یک کلید ثابت AES و کد پروتکل کامپایل‌شده متکی است. بنابراین، تغییر تنظیمات کامپایلر می‌تواند باعث شود این قانون دیگر نتواند نمونه تغییر‌یافته را شناسایی کند.
ابزار تحلیل و راهنمای کاهش ریسک معرفی‌شده در این پژوهش تا 26 آگوست 2026 به‌صورت عمومی در وب‌سایت یا پروفایل گیت‌هاب پژوهشگران منتشر نشده بود. پژوهشگران از افرادی که احتمال می‌دهند هدف این تهدید قرار گرفته‌اند نیز خواسته‌اند مستقیماً با آن‌ها تماس بگیرند.
نمونه‌هایی از ایمپلنت‌هایی که با دریافت یک بسته ویژه فعال می‌شوند پیش‌تر در سیستم‌های لینوکس (Linux) نیز مشاهده شده‌اند. برای مثال، گروه Red Menshen از بکدورهای غیرفعال مانند BPFDoor در شبکه اپراتورهای مخابراتی استفاده کرده است. این فعالیت توسط شرکت Rapid7 مستند شده است.
اگرچه شیوه فعال‌سازی این نمونه با برخی ایمپلنت‌های پیشین شباهت دارد، اما معماری آن ترکیبی از فعال‌سازی شبکه‌ای، بایت‌کد اختصاصی، اجرای کد در حافظه و چندین کانال انتقال است. همین ویژگی‌ها باعث می‌شوند شناسایی و تحلیل این تهدید برای تیم‌های دفاع سایبری و شکار تهدید (Threat Hunting) اهمیت ویژه‌ای داشته باشد.
