“Сплячий агент”: Нове шкідливе ПЗ для Windows перебуває у неактивному стані та активується лише спецкомандою

Фахівці з кібербезпеки повідомили про виявлення незвичного зразка шкідливого програмного забезпечення для Windows, який отримав назву Sleepwalker. Його особливість полягає в тому, що він не містить стандартного набору інструментів для шпигування чи крадіжки даних і залишається майже непомітним, доки не отримає спеціальну команду для активації. Про це пише The Register.

Дослідник Домінік Райхель встановив, що Sleepwalker маскується під легітимний компонент системи — агент керування ESET. Завдяки цьому він може працювати всередині довіреного додатку, а не як окрема програма, що зменшує ймовірність викриття. У стані “сну” він не виконує жодних дій, які могли б привернути увагу антивірусного захисту.

Активація відбувається лише після отримання спеціально сформованого сигналу з мережі. Саме цей сигнал визначає подальші можливості шкідливого коду: планування завдань, обмін даними з іншими системами, завантаження додаткових програм чи виконання команд. Такий підхід відрізняється від більшості відомих зразків, які одразу після зараження намагаються встановити зв’язок із сервером керування та почати збір інформації.

За даними Райхеля, зразок віруса було завантажено на платформу VirusTotal минулого року, однак наразі немає підтверджених випадків його використання у реальних атаках. Наразі не встановлено, які організації чи країни могли стати потенційними цілями, а також невідомо, яким чином шкідливий код потрапив у середовище, хто ним керує, а також чи супроводжувався він іншими інструментами.

За словами дослідника, структура програми виглядає “сирою” та має низку слабких місць, що може свідчити про незавершений етап розробки. Водночас він не виключає існування новіших модифікацій, які вже можуть перебувати у використанні.

Попри недоліки, експерт вважає, що Sleepwalker створювався не для масових атак. Ймовірно, його розробили державні структури з метою застосування проти конкретних цілей.