SLEEPWALKER, la backdoor che si impianta nell'agente ESET e ascolta un "pacchetto magico"

Il 26 agosto 2026 il ricercatore indipendente Dominik Reichel ha documentato SLEEPWALKER, una backdoor per Windows finora non descritta pubblicamente. Il campione analizzato è una DLL a 64 bit non firmata di 59.904 byte, progettata per essere caricata al posto della libreria di sistema Microsoft dpapi.dll durante l'avvio di ERAAgent.exe, l'eseguibile dell'ESET Management Agent. La DLL esporta le stesse sette funzioni di protezione dati della libreria originale e include una risorsa di versione copiata da quella dell'agente ESET. Non contiene domini, indirizzi IP o URL, e non effettua connessioni in uscita autonome: una scelta che elude il monitoraggio del traffico verso infrastrutture note.

Un impianto post-compromissione, non un vettore di ingresso

SLEEPWALKER sfrutta l'ordine di ricerca delle DLL di Windows, non una vulnerabilità del software ESET. L'operatore deve già disporre di privilegi di amministratore locale sulla macchina bersaglio: la backdoor è un impianto post-compromissione, non un modo per entrare nel sistema. La persistenza è garantita dal side-loading stesso: la DLL viene ricaricata a ogni avvio del servizio ESET Management Agent. SLEEPWALKER verifica solo il nome del processo host, non la firma digitale né il percorso completo, il che rende l'impianto relativamente semplice da installare ma anche fragile se il file legittimo viene sostituito.

Non esiste una patch applicabile: poiché non si tratta di una vulnerabilità di ESET, la risposta è di tipo incident response. Il vendor non ha emesso advisory o dichiarazioni pubbliche al 26 agosto 2026.

Comandi cifrati e un trigger "magic packet"

I comandi destinati alla backdoor non arrivano come testo leggibile, ma come bytecode. La decifratura con AES-256-CCM produce opcode di un linguaggio proprietario che comprende 23 istruzioni. La configurazione incorporata nel campione, una volta decifrata, si riduce a una singola istruzione: ascoltare indefinitamente su ogni interfaccia di rete in attesa di un pacchetto specifico, chiamato "magic packet".

Il listener cattura tutto il traffico in transito, incluso quello diretto ad altre macchine. Questo permette a gateway, server VPN o host di collegamento di rilevare trigger che non sono destinati a loro. I sei trasporti disponibili per la comunicazione sono TCP, UDP, ICMP, named pipe SMB con movimento laterale tramite credenziali, cattura promiscua raw e VMware Virtual Machine Communication Interface (VMCI). Il traffico VMCI viaggia attraverso il livello di virtualizzazione e non compare nelle catture di pacchetti tra due macchine fisiche: una capacità che rende il canale particolarmente adatto a infrastrutture virtualizzate.

Due istruzioni implementano il meccanismo di trigger. Nel campione analizzato è attivo solo il listener raw-packet; un secondo opcode, basato su DNS, è presente nel binario ma non è attivo in questa build.

Capacità operative e impatto

Le 23 istruzioni del linguaggio proprietario supportano pianificazione, spostamento dati, consegna di file in più fasi con verifica SHA-256 ed esecuzione di codice direttamente in memoria. Nessuna istruzione scrive su disco: i file necessari devono essere depositati da un componente separato. Questo riduce ulteriormente la traccia forense.

Per il movimento laterale tramite named pipe SMB, SLEEPWALKER imposta il valore di registro EveryoneIncludesAnonymous a 1 e aggiunge il nome della pipe a NullSessionPipes, consentendo l'accesso non autenticato. La routine di pulizia registra solo il successo della propria scrittura, senza verificare se esistessero già voci legittime: durante la rimozione potrebbe cancellare configurazioni preesistenti e causare malfunzionamenti.

L'impatto complessivo è elevato per stealth e capacità di esecuzione in memoria, ma la minaccia resta circoscritta a sistemi già compromessi con privilegi amministrativi. Non ci sono CVE associate: la scoperta riguarda un impianto malevolo, non una falla di sicurezza del software di terze parti.

Indicatori di compromissione e mitigazioni

Reichel ha pubblicato i seguenti indicatori host per la detection:

• dpapi.dll inattesa nella stessa directory di ERAAgent.exe
• dpapisvc.dll inattesa nella stessa directory
• SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
• MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
• EveryoneIncludesAnonymous impostato a 1
• Voce inattesa in NullSessionPipes

I valori di registro vanno confrontati con una baseline nota, perché potrebbero essere legittimamente utilizzati da altri servizi in ambienti particolari. Il writeup include una regola YARA basata parzialmente su una chiave AES statica e su codice compilato, e uno scanner PowerShell di sola lettura per verificare gli indicatori. Al 26 agosto 2026, il toolkit di analisi e la guida di mitigazione non risultavano ancora pubblicati sul sito o sul GitHub di Reichel; chi sospetta di essere stato preso di mira è invitato a contattarlo direttamente.

Poiché non esiste una patch, le azioni consigliate sono il controllo degli indicatori, l'isolamento dei sistemi sospetti e un'analisi approfondita dei log di rete e di sistema per individuare eventuali pacchetti anomali o modifiche al registro.

Contesto e precedenti

Reichel non ha attribuito SLEEPWALKER a un attore noto. Manca il contesto di raccolta: non sono disponibili informazioni sulla vittima, sul settore o sul paese. Il ricercatore ritiene l'approccio coerente con un'operazione mirata e ben finanziata.

L'uso di side-loading contro ESET non è nuovo. In passato, secondo Kaspersky, il gruppo ToddyCat ha sfruttato una falla nell'ordine di ricerca dello scanner a riga di comando ESET. Anche l'uso di socket VMCI per la persistenza ha precedenti: Mandiant li ha documentati in intrusioni attribuite a UNC3886. Su Linux, impianti con trigger "magic packet" simili sono stati osservati con BPFDoor, attribuito a Red Menshen e documentato da Rapid7. SLEEPWALKER porta questa tecnica su Windows, combinando side-loading, bytecode cifrato e cattura promiscua in un unico impianto.