Nově popsaný Windows backdoor ukazuje, jak může vypadat skutečně pasivní kompromitace. Sleepwalker se schová do legitimně vypadajícího procesu, neotevírá vlastní port, nevolá na C2 server a nevysílá žádné vlastní „beaconing“ zprávy. Místo toho čeká v paměti na jediný speciálně připravený paket. Teprve ten jej probudí.
Bezpečnostní výzkumník Dominik Reichel 24. srpna 2026 zveřejnil technickou analýzu dosud nezdokumentovaného Windows backdooru, který pojmenoval Sleepwalker. Už samotný způsob jeho fungování je neobvyklý: malware se po zavedení nesnaží aktivně komunikovat s útočníkem. Naopak se snaží být co nejméně nápadný a jednoduše čeká.
Analyzovaný vzorek je 64bitová DLL o velikosti 59 904 bajtů. Vydává se za legitimní Windows knihovnu dpapi.dll, přičemž obsahuje také podvržené informace připomínající ESET Management Agent. Do systému se dostává pomocí mechanismu DLL side-loadingu prostřednictvím procesu ERAAgent.exe, tedy spustitelného souboru ESET Management Agenta.
A právě zde začíná být Sleepwalker zajímavý.
Malware, který se nesnaží komunikovat
Typický backdoor má nějaký způsob komunikace s útočníkem. Často jde o spojení na konkrétní IP adresu nebo doménu, pravidelné dotazy na C2 server nebo alespoň otevřený port, na kterém malware čeká na příkazy.
Sleepwalker nic takového ve výchozím stavu nedělá.
Po zavedení si vytvoří vlastní pracovní vlákno, rezervuje si 128 KB paměti a dešifruje jedinou počáteční instrukci. Jejím úkolem není spustit další škodlivý kód. Říká v podstatě jen: čekej na magický paket.
To znamená, že kompromitovaný počítač může z pohledu běžného síťového monitoringu vypadat zcela normálně.
Žádné pravidelné spojení s C2.
Žádná známá doména.
Žádný vlastní otevřený port.
Žádné pravidelné odchozí požadavky.
Sleepwalker pouze pasivně sleduje síťový provoz a čeká, zda se objeví paket, který přesně odpovídá jeho očekávání.
Vydává se za ESET i Microsoft
Sleepwalker je navržen tak, aby zapadl do prostředí, ve kterém se nachází.
Samotná DLL se jmenuje dpapi.dll, tedy stejně jako legitimní Windows komponenta spojená s Data Protection API. Současně obsahuje informace kopírující ESET Management Agent.
Malware exportuje stejných sedm funkcí jako skutečný dpapi.dll a jeho autoři počítají s tím, že knihovna bude načtena procesem ERAAgent.exe.
Kód navíc nekontroluje digitální podpis hostitelského procesu ani jeho cestu. Zajímá ho především jeho jméno. Pokud proces nese název ERAAgent.exe, pokračuje v inicializaci. Pokud ne, zůstává neaktivní.
To je důležitý detail také z pohledu analýzy malwaru. Implantát se může vyhnout prostředím, která ho spustí v jiném procesu, například některým sandboxům nebo debuggerům.
Co je DLL side-loading?
Windows při hledání DLL používá mimo jiné cestu aplikace. Pokud program očekává knihovnu s určitým názvem a škodlivá knihovna se stejným názvem leží ve vhodném adresáři, může být načtena místo legitimní komponenty.
Sleepwalker tuto vlastnost přímo využívá.
Vedle ERAAgent.exe se objeví škodlivý dpapi.dll a legitimní proces jej může načíst. Výsledkem je, že malware neběží jako podezřelý samostatný proces. Je schovaný uvnitř legitimního procesu ESET Management Agenta.
Magický paket
Nejzajímavější částí Sleepwalkera je jeho síťový trigger.
Malware přepne síťové rozhraní do promiskuitního režimu a sleduje pakety, které přes něj procházejí. Každý paket nejprve podrobí několika kontrolám.
Proces lze zjednodušit následovně:
- Paket musí mít minimální délku.
- Z jeho konce se vypočítá kandidátní délka dat.
- Tato délka musí odpovídat očekávanému rozsahu.
- Následuje kontrola pomocí hodnot uložených v paketu.
- Malware vypočítá CRC-32.
- Pokud vše sedí, data se dešifrují pomocí AES-256-CCM.
- Výsledkem je program v interním jazyce Sleepwalkera.
Útočník tedy nemusí jednoduše poslat například požadavek typu „spusť tento příkaz“.
Musí vytvořit paket přesně podle pravidel, která Sleepwalker očekává.
To výrazně snižuje pravděpodobnost, že náhodný síťový provoz backdoor omylem aktivuje.
Příkaz není příkaz. Je to celý program.
Tady Sleepwalker přidává další vrstvu.
Backdoor nepoužívá klasický seznam příkazů typu cmd.exe /c .... Obsahuje vlastní bytecode interpreter a vlastní jazyk s celkem 23 instrukcemi.
Mezi instrukcemi jsou například:
SLEEP_SECONDS– čekání po zadanou dobu,SLEEP_RANDOM_SECONDS– náhodně dlouhé čekání,CRON_SCHEDULE– plánování dalších akcí,REPEAT_N– opakování programu,LOOP_FOREVER– nekonečná smyčka,SPAWN_THREAD_SCRIPT– spuštění programu v novém vlákně,TCP_SENDaUDP_SEND– odesílání dat,ICMP_SEND– přenos dat prostřednictvím ICMP,PIPE_SEND– komunikace přes Windows named pipes,TCP_CONNECT_RECVaTCP_LISTEN_RECV– příjem dalšího programu,STAGE_WRITEaSTAGE_VERIFY_EXEC– sestavení většího programu v paměti,DECOMPRESS_RUN– rozbalení LZMA dat a jejich spuštění,RUN_SHELLCODE– spuštění strojového kódu přímo z paměti.
To je zásadní rozdíl oproti jednoduchému backdooru.
Útočník neposílá pouze jednotlivé příkazy. Může Sleepwalkeru doručit celý malý program, který následně provádí sérii operací.
Všechno může zůstat v paměti
Jednou z nejzajímavějších vlastností je způsob práce s payloadem.
Sleepwalker podporuje přenos a sestavení větších programů v paměti. Pomocí STAGE_WRITE může přijímat jednotlivé části programu, následně je ověřit pomocí SHA-256 a po dokončení spustit.
Další instrukce umožňuje rozbalit komprimovaný program pomocí LZMA a jiná přímo spustit strojový kód v paměti.
To omezuje množství artefaktů, které malware musí zanechat na disku.
Neznamená to samozřejmě, že je malware „neviditelný“. Znamená to ale, že klasická kontrola nově vytvořených .exe nebo .dll souborů nemusí stačit.
Nejen TCP a UDP
Sleepwalker navíc podporuje několik různých způsobů komunikace.
Kromě běžného TCP a UDP dokáže využít například:
- ICMP,
- Windows named pipes,
- SMB named pipes,
- VMware VMCI.
VMCI je obzvlášť zajímavé v prostředí virtualizace. Umožňuje komunikaci mezi virtuálním strojem a hostitelem prostřednictvím mechanismu, který nemusí vypadat jako klasický IP provoz.
Podle analýzy existuje také varianta triggeru přes DNS. Šifrovaná data mohou být rozdělena do Base32 řetězců uvnitř DNS labelů. V analyzovaném vzorku však tato varianta nebyla aktivní a vyžaduje jiný build.
Kryptografie jako další vrstva ochrany
Komunikace je chráněna pomocí AES-256-CCM.
Sleepwalker má v sobě zabudovaný statický klíč a nonce, které používá pro dešifrování a autentizaci přijatých úloh. Kryptografická knihovna mbedTLS je navíc přímo součástí DLL.
Nestačí tedy pouze najít paket, který vypadá podezřele.
Musí projít také kontrolou integrity a následně musí být možné jeho obsah správně dešifrovat.
Pro náhodného pozorovatele tak může síťový provoz vypadat jako běžná data.
Co po sobě Sleepwalker zanechává?
Přestože je backdoor navržený jako velmi pasivní, úplně beze stop není.
Mezi důležité indikátory kompromitace patří především neočekávaný dpapi.dll vedle ERAAgent.exe a případná přítomnost dpapisvc.dll.
Pro analyzovaný vzorek je znám také hash:
SHA-256:d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
MD5:2318327b29bb1c0e2d2b5f0211fc7fac
Analýza dále uvádí změny v registrech související s EveryoneIncludesAnonymous a NullSessionPipes. Tyto hodnoty ale samy o sobě nejsou důkazem infekce a měly by být porovnány s referenčním stavem daného systému.
Jak Sleepwalkera hledat?
Obrana musí kombinovat kontrolu koncových stanic a síťové analýzy.
Prvním krokem je kontrola instalací ESET Management Agenta. Administrátor by měl ověřit, zda se vedle ERAAgent.exe nenachází neočekávaný dpapi.dll nebo dpapisvc.dll.
Dále je vhodné ověřit hash nalezených souborů a zkontrolovat relevantní registry.
Výzkumník zároveň zveřejnil YARA pravidlo a PowerShellový skener, který umožňuje kontrolovat hostitelské indikátory.
Na síťové úrovni je situace složitější.
Protože Sleepwalker nemá klasickou C2 infrastrukturu a sám od sebe nemusí nic odesílat, není možné spoléhat pouze na monitoring odchozích spojení. Detekce musí počítat i s neobvyklými pakety a případně s DNS provozem odpovídajícím jeho specifickému formátu.
Neznáme útočníka ani oběti
Je důležité nepřehánět to, co o Sleepwalkeru skutečně víme.
V současnosti není známo, kdo za malwarem stojí. Analýza neumožnila přiřadit vzorek ke konkrétní známé skupině a není potvrzeno, že byl Sleepwalker použit v konkrétním útoku.
Neznámý zůstává také původní způsob průniku do systému. Samotný analyzovaný vzorek ukazuje, jak se backdoor zavede a jak funguje, nikoliv jak se útočník k prvnímu kompromitovanému stroji dostal.
Právě proto je vhodné mluvit spíše o technicky velmi zajímavém potenciálním implantátu než o potvrzené masové kampani.
Proč je Sleepwalker důležitý?
Sleepwalker není zajímavý jen proto, že používá DLL side-loading nebo AES.
Je zajímavý především kombinací několika technik:
legitimně vypadající proces → DLL side-loading → pasivní implantát → žádné C2 spojení → sniffování paketů → kryptograficky ověřený trigger → vlastní bytecode → spouštění kódu v paměti.
To je přesně ten typ architektury, který ukazuje limity klasického přístupu k detekci.
Pokud bezpečnostní tým hledá pouze:
- podezřelé domény,
- odchozí spojení,
- otevřené porty,
- známé C2 adresy,
- nové spustitelné soubory,
může podobný implantát určitou dobu zůstat mimo jeho pozornost.
Sleepwalker totiž nemusí nic dělat.
A právě v tom je jeho síla.
Backdoor může být zavedený v systému, sedět v paměti a čekat. Dokud útočník nepošle správný paket, z jeho pohledu se prakticky nic neděje.
Závěr
Sleepwalker ukazuje zajímavý posun v přemýšlení o backdoorech. Útočník nemusí mít neustále otevřenou komunikační cestu se serverem, nemusí používat doménu, která skončí na blocklistu, a nemusí pravidelně posílat beaconing.
Stačí mu implantát, který čeká.
Jakmile se na síti objeví přesně vytvořený paket, Sleepwalker jej ověří, dešifruje a předá vlastnímu interpretru. Od tohoto okamžiku může přijímat další programy, komunikovat různými kanály a spouštět kód přímo v paměti.
Zatím není potvrzeno, že by Sleepwalker způsobil konkrétní útok nebo že by za ním stála známá APT skupina. Jeho technické provedení ale stojí za pozornost. Ukazuje totiž, že i kompromitovaný Windows počítač může z pohledu tradičního síťového monitoringu působit téměř dokonale klidně.
Někdy totiž nejnebezpečnější malware není ten, který komunikuje. Je to ten, který mlčí.
Zdroje
- Dominik Reichel – SLEEPWALKER: A Passive Backdoor With Its Own Command Language
https://r136a1.dev/2026/08/24/sleepwalker-a-passive-backdoor-with-its-own-command-language/ - Cybernews – Sleepwalker Windows backdoor hides until network trigger
https://cybernews.com/security/windows-sleepwalking-backdoor/ - Berigo – A new backdoor does nothing at all until one crafted packet arrives
https://berigo.no/en/news/passive-backdoor-waits-for-crafted-packet - NEXSIGHT CYBER WIRE – SLEEPWALKER: Passive backdoor triggered by one packet
https://cyber.nexsight.co/articles/2026/08/26/sleepwalker-passive-backdoor-r136a1-2026-08-26/
