SLEEPWALKER, die Backdoor, die sich im ESET-Agenten einnistet und auf ein „magisches Paket“ hört

Am 26. August 2026 dokumentierte der unabhängige Forscher Dominik Reichel SLEEPWALKER, eine bislang öffentlich nicht beschriebene Windows-Backdoor. Die analysierte Probe ist eine unsignierte 64-Bit-DLL mit 59.904 Bytes, die darauf ausgelegt ist, beim Start von ERAAgent.exe, der ausführbaren Datei des ESET Management Agent, anstelle der Microsoft-Systembibliothek dpapi.dll geladen zu werden. Die DLL exportiert dieselben sieben Datenverschluesselungsfunktionen wie die Originalbibliothek und enthält eine Versionsressource, die von der des ESET-Agenten kopiert wurde. Sie enthält keine Domains, IP-Adressen oder URLs und stellt keine eigenständigen ausgehenden Verbindungen her – eine Entscheidung, die die Überwachung des Datenverkehrs zu bekannten Infrastrukturen umgeht.

Ein Implantat nach einer Kompromittierung, kein Einstiegsvektor

SLEEPWALKER nutzt die DLL-Suchreihenfolge von Windows aus, nicht eine Schwachstelle in der ESET-Software. Der Angreifer muss bereits über lokale Administratorrechte auf dem Zielrechner verfügen: Die Backdoor ist ein Implantat nach einer Kompromittierung, kein Weg, um in das System einzudringen. Die Persistenz wird durch das Side-Loading selbst gewährleistet: Die DLL wird bei jedem Start des ESET-Management-Agent-Dienstes erneut geladen. SLEEPWALKER prüft nur den Namen des Hostprozesses, nicht die digitale Signatur oder den vollständigen Pfad, was die Installation relativ einfach macht, aber auch anfällig, wenn die legitime Datei ersetzt wird.

Es gibt keinen anwendbaren Patch: Da es sich nicht um eine Schwachstelle von ESET handelt, ist die Reaktion eine Incident-Response. Der Hersteller hat bis zum 26. August 2026 weder Advisories noch öffentliche Stellungnahmen veröffentlicht.

Verschlüsselte Befehle und ein „Magic Packet“-Trigger

Die für die Backdoor bestimmten Befehle kommen nicht als lesbarer Text, sondern als Bytecode. Die Entschlüsselung mit AES-256-CCM erzeugt Opcodes einer proprietären Sprache, die 23 Anweisungen umfasst. Die in der Probe eingebettete Konfiguration reduziert sich nach der Entschlüsselung auf eine einzige Anweisung: unbegrenzt auf jeder Netzwerkschnittstelle auf ein bestimmtes Paket zu lauschen, das als „Magic Packet“ bezeichnet wird.

Der Listener fängt den gesamten durchlaufenden Datenverkehr ab, einschließlich des an andere Rechner gerichteten. Dadurch können Gateways, VPN-Server oder Verbindungshosts Trigger erkennen, die nicht für sie bestimmt sind. Die sechs verfügbaren Transporte für die Kommunikation sind TCP, UDP, ICMP, SMB-Named-Pipes mit lateraler Bewegung über Anmeldeinformationen, Raw-Paketerfassung im Promiscuous-Modus und VMware Virtual Machine Communication Interface (VMCI). VMCI-Verkehr läuft über die Virtualisierungsschicht und erscheint nicht in Paketmitschnitten zwischen zwei physischen Maschinen – eine Fähigkeit, die den Kanal besonders für virtualisierte Infrastrukturen geeignet macht.

Zwei Anweisungen implementieren den Trigger-Mechanismus. In der analysierten Probe ist nur der Raw-Packet-Listener aktiv; ein zweiter Opcode, der auf DNS basiert, ist in der Binärdatei vorhanden, aber in diesem Build nicht aktiv.

Operative Fähigkeiten und Auswirkungen

Die 23 Anweisungen der proprietären Sprache unterstützen Planung, Datenverschiebung, mehrstufige Dateizustellung mit SHA-256-Prüfung und Codeausführung direkt im Speicher. Keine Anweisung schreibt auf die Festplatte: Benötigte Dateien müssen von einer separaten Komponente abgelegt werden. Dies reduziert die forensische Spur weiter.

Für die laterale Bewegung über SMB-Named-Pipes setzt SLEEPWALKER den Registrierungswert EveryoneIncludesAnonymous auf 1 und fügt den Pipe-Namen zu NullSessionPipes hinzu, um nicht authentifizierten Zugriff zu ermöglichen. Die Bereinigungsroutine protokolliert nur den Erfolg ihres eigenen Schreibvorgangs, ohne zu prüfen, ob bereits legitime Einträge vorhanden waren: Beim Entfernen könnte sie bestehende Konfigurationen löschen und Fehlfunktionen verursachen.

Die Gesamtauswirkung ist hoch in Bezug auf Tarnung und Fähigkeit zur Codeausführung im Speicher, die Bedrohung bleibt jedoch auf bereits mit Administratorrechten kompromittierte Systeme beschränkt. Es sind keine CVE zugeordnet: Die Entdeckung betrifft ein bösartiges Implantat, keine Sicherheitslücke in Software von Drittanbietern.

Kompromittierungsindikatoren und Eindämmungsmaßnahmen

Reichel veröffentlichte die folgenden Host-Indikatoren für die Erkennung:

• Unerwartete dpapi.dll im selben Verzeichnis wie ERAAgent.exe
• Unerwartete dpapisvc.dll im selben Verzeichnis
• SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
• MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
• EveryoneIncludesAnonymous auf 1 gesetzt
• Unerwarteter Eintrag in NullSessionPipes

Die Registrierungswerte sollten mit einer bekannten Baseline verglichen werden, da sie in bestimmten Umgebungen möglicherweise legitim von anderen Diensten verwendet werden. Das Writeup enthält eine YARA-Regel, die teilweise auf einem statischen AES-Schlüssel und kompiliertem Code basiert, sowie einen rein lesenden PowerShell-Scanner zur Überprüfung der Indikatoren. Bis zum 26. August 2026 waren das Analysepaket und der Leitfaden zur Eindämmung auf Reichels Website oder GitHub noch nicht veröffentlicht; Personen, die vermuten, ins Visier genommen worden zu sein, werden gebeten, ihn direkt zu kontaktieren.

Da kein Patch existiert, werden als empfohlene Maßnahmen die Überprüfung der Indikatoren, die Isolierung verdächtiger Systeme und eine gründliche Analyse der Netzwerk- und Systemprotokolle auf ungewöhnliche Pakete oder Registrierungsänderungen empfohlen.

Kontext und Vorgeschichte

Reichel hat SLEEPWALKER keinem bekannten Akteur zugeordnet. Es fehlt der Sammlungskontext: Es sind keine Informationen über Opfer, Branche oder Land verfügbar. Der Forscher hält den Ansatz für konsistent mit einer gezielten und gut finanzierten Operation.

Der Einsatz von Side-Loading gegen ESET ist nicht neu. In der Vergangenheit hat laut Kaspersky die Gruppe ToddyCat eine Schwachstelle in der Suchreihenfolge des ESET-Befehlszeilen-Scanners ausgenutzt. Auch die Nutzung von VMCI-Sockets für Persistenz hat Präzedenzfälle: Mandiant hat sie in Einbrüchen dokumentiert, die UNC3886 zugeschrieben werden. Unter Linux wurden ähnliche Implantate mit „Magic Packet“-Triggern mit BPFDoor beobachtet, das der Gruppe Red Menshen zugeschrieben und von Rapid7 dokumentiert wurde. SLEEPWALKER bringt diese Technik auf Windows und kombiniert Side-Loading, verschlüsselten Bytecode und promiskuitive Erfassung in einem einzigen Implantat.