SLEEPWALKER, la backdoor qui s'implante dans l'agent ESET et écoute un « paquet magique »

Le 26 août 2026, le chercheur indépendant Dominik Reichel a documenté SLEEPWALKER, une backdoor Windows jusqu'alors non décrite publiquement. L'échantillon analysé est une DLL 64 bits non signée de 59 904 octets, conçue pour être chargée à la place de la bibliothèque système Microsoft dpapi.dll lors du démarrage de ERAAgent.exe, l'exécutable de l'ESET Management Agent. La DLL exporte les sept mêmes fonctions de protection des données que la bibliothèque d'origine et inclut une ressource de version copiée depuis celle de l'agent ESET. Elle ne contient ni domaines, ni adresses IP, ni URL, et n'effectue aucune connexion sortante autonome : un choix qui déjoue la surveillance du trafic vers des infrastructures connues.

Un implant post-compromission, pas un vecteur d'entrée

SLEEPWALKER exploite l'ordre de recherche des DLL de Windows, et non une vulnérabilité du logiciel ESET. L'opérateur doit déjà disposer de privilèges d'administrateur local sur la machine cible : la backdoor est un implant post-compromission, pas un moyen d'entrer dans le système. La persistance est assurée par le chargement latéral lui-même : la DLL est rechargée à chaque démarrage du service ESET Management Agent. SLEEPWALKER vérifie uniquement le nom du processus hôte, pas la signature numérique ni le chemin complet, ce qui rend l'implant relativement simple à installer mais également fragile si le fichier légitime est remplacé.

Il n'existe pas de correctif applicable : puisqu'il ne s'agit pas d'une vulnérabilité d'ESET, la réponse relève de la réponse à incident. L'éditeur n'a émis aucun avis ni déclaration publique au 26 août 2026.

Commandes chiffrées et un déclencheur « paquet magique »

Les commandes destinées à la backdoor n'arrivent pas sous forme de texte lisible, mais sous forme de bytecode. Le déchiffrement avec AES-256-CCM produit des opcodes d'un langage propriétaire comprenant 23 instructions. La configuration intégrée dans l'échantillon, une fois déchiffrée, se réduit à une seule instruction : écouter indéfiniment sur chaque interface réseau en attendant un paquet spécifique, appelé « paquet magique ».

Le listener capture tout le trafic en transit, y compris celui destiné à d'autres machines. Cela permet à des passerelles, des serveurs VPN ou des hôtes de liaison de détecter des déclencheurs qui ne leur sont pas destinés. Les six transports disponibles pour la communication sont TCP, UDP, ICMP, les canaux nommés SMB avec mouvement latéral via des informations d'identification, la capture en mode promiscuité brute et l'interface de communication de machine virtuelle VMware (VMCI). Le trafic VMCI transite par la couche de virtualisation et n'apparaît pas dans les captures de paquets entre deux machines physiques : une capacité qui rend ce canal particulièrement adapté aux infrastructures virtualisées.

Deux instructions implémentent le mécanisme de déclenchement. Dans l'échantillon analysé, seul le listener de paquets bruts est actif ; un second opcode, basé sur DNS, est présent dans le binaire mais n'est pas actif dans cette build.

Capacités opérationnelles et impact

Les 23 instructions du langage propriétaire prennent en charge la planification, le déplacement de données, la livraison de fichiers en plusieurs étapes avec vérification SHA-256 et l'exécution de code directement en mémoire. Aucune instruction n'écrit sur le disque : les fichiers nécessaires doivent être déposés par un composant séparé. Cela réduit encore davantage la trace forensique.

Pour le mouvement latéral via des canaux nommés SMB, SLEEPWALKER définit la valeur de registre EveryoneIncludesAnonymous à 1 et ajoute le nom du canal à NullSessionPipes, autorisant ainsi l'accès non authentifié. La routine de nettoyage enregistre uniquement le succès de sa propre écriture, sans vérifier si des entrées légitimes existaient déjà : lors de la suppression, elle pourrait effacer des configurations préexistantes et provoquer des dysfonctionnements.

L'impact global est élevé en termes de furtivité et de capacité d'exécution en mémoire, mais la menace reste circonscrite aux systèmes déjà compromis avec des privilèges d'administrateur. Aucune CVE n'est associée : la découverte concerne un implant malveillant, pas une faille de sécurité d'un logiciel tiers.

Indicateurs de compromission et mesures d'atténuation

Reichel a publié les indicateurs hôte suivants pour la détection :

• dpapi.dll inattendue dans le même répertoire que ERAAgent.exe
• dpapisvc.dll inattendue dans le même répertoire
• SHA-256 : d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
• MD5 : 2318327b29bb1c0e2d2b5f0211fc7fac
• EveryoneIncludesAnonymous défini à 1
• Entrée inattendue dans NullSessionPipes

Les valeurs de registre doivent être comparées à une référence connue, car elles pourraient être légitimement utilisées par d'autres services dans des environnements particuliers. Le writeup inclut une règle YARA basée en partie sur une clé AES statique et sur du code compilé, ainsi qu'un scanner PowerShell en lecture seule pour vérifier les indicateurs. Au 26 août 2026, le kit d'analyse et le guide de remédiation n'étaient pas encore publiés sur le site ou le GitHub de Reichel ; toute personne soupçonnant d'avoir été ciblée est invitée à le contacter directement.

Comme il n'existe pas de correctif, les actions recommandées sont la vérification des indicateurs, l'isolation des systèmes suspects et une analyse approfondie des journaux réseau et système pour détecter d'éventuels paquets anormaux ou des modifications du registre.

Contexte et précédents

Reichel n'a pas attribué SLEEPWALKER à un acteur connu. Le contexte de collecte fait défaut : aucune information n'est disponible sur la victime, le secteur ou le pays. Le chercheur estime que l'approche est cohérente avec une opération ciblée et bien financée.

L'utilisation du side-loading contre ESET n'est pas nouvelle. Par le passé, selon Kaspersky, le groupe ToddyCat a exploité une faille dans l'ordre de recherche du scanner en ligne de commande ESET. L'utilisation de sockets VMCI pour la persistance a également des précédents : Mandiant les a documentés dans des intrusions attribuées à UNC3886. Sous Linux, des implants avec des déclencheurs « paquets magiques » similaires ont été observés avec BPFDoor, attribué à Red Menshen et documenté par Rapid7. SLEEPWALKER transpose cette technique sur Windows, en combinant side-loading, bytecode chiffré et capture en mode promiscuité dans un seul implant.