Een onafhankelijke malwareonderzoeker beschrijft een nieuw ontdekte Windows-backdoor die vrijwel volledig stil blijft totdat hij precies op het juiste moment wordt geactiveerd. De SLEEPWALKER backdoor wacht in eerste instantie inactief in het systeemgeheugen en start pas wanneer een specifiek geconstrueerd netwerkpakket aankomt. Daarna voert hij opdrachten uit die niet als leesbare tekst binnenkomen, maar als bytecode in een eigen instructietaal.
Wat dit incident extra relevant maakt voor verdedigers: de techniek vermijdt opvallende netwerkgedragingen en gebruikt side-loading via Windows DLL-zoekvolgorde. Daardoor kan een geïnfecteerde machine langer “normaal” lijken voor tooling die vooral kijkt naar bekende kwaadwillige infrastructuur.
Wat is de SLEEPWALKER backdoor precies?
De onderzoekers beschrijven een voorbeeld van een niet-ondertekende 64-bit Windows DLL van 59.904 bytes. Deze DLL is bedoeld om te worden ingeladen door een bestaand Windows-executable: ERAAgent.exe, het onderdeel van ESET Management Agent.
Om zijn aanwezigheid te maskeren imiteert SLEEPWALKER een bekende systeemcomponent: de malware exporteert dezelfde zeven dataprotectiefuncties als de echte Microsoft-bibliotheek dpapi.dll. Bovendien bevat de DLL een versie-resource die lijkt te zijn gekopieerd uit ESET Management Agent.
Inactief tot een triggerpakket: zo activeert de malware
De kern van de werking is verrassend “voorwaardelijk”. De backdoor blijft inert totdat hij een specifiek triggermoment krijgt via het netwerk. Het commando arriveert niet als gewone tekst, maar als versleutelde/uitvoerbare bytecode binnen het patroon van dat ene samengestelde pakket.
De ingebouwde configuratie wordt ontcijferd met AES-256-CCM en levert uiteindelijk een instructie op die de backdoor vertelt om netwerkinterfaces langdurig te monitoren voor dat specifieke patroon. In de uitgewerkte beschrijving staat dat hij “indefinitely” blijft luisteren, zolang hij actief is.
Waarom het lastig opvalt: weinig te zien op de draad
Een belangrijke observatie is dat SLEEPWALKER geen eigen outbound connecties maakt. Dat verkleint de kans dat systemen worden opgepakt door controles die uitgaand verkeer naar bekende malafide domeinen of IP-adressen zoeken.
Daarnaast slaat de malware de “bron” van het commando niet op in een klassieke vorm die voor analyse meteen herkenbaar is. Omdat de opdrachten in een eigen instructietaal binnenkomen, kun je pas echt begrijpen wat hij doet wanneer je de juiste sleutels of de uitvoerbare structuur weer blootlegt.
Dat betekent ook dat je detectie niet alleen moet baseren op netwerk IOC’s, maar breder moet kijken naar host- en configuratie-indicatoren.
Side-loading via dpapi.dll: geen patch nodig, maar wel opsporen
Het is opvallend dat SLEEPWALKER niet afhankelijk lijkt van een specifieke kwetsbaarheid in ESET-software. De techniek gebruikt simpelweg de Windows DLL-zoekvolgorde: als de verkeerde (of kwaadaardige) bibliotheek in de juiste map staat naast het gebruikte proces, kan Windows die laden.
Dat kader is belangrijk voor incident response. De reactie bij een bevestigde match is volgens de beschrijving vooral: incident behandelen en het systeem reconstrueren, in plaats van wachten op een patch die de root van een DLL-zoekvolgorde probleem oplost.
Ook is beschreven dat deze side-loading herhaald plaatsvindt bij het starten van de ESET Management Agent service. Daarmee is het mechanisme qua persistentie eigenlijk gekoppeld aan hoe de service telkens opnieuw opstart.
Gevolgen van het luistermechanisme: verkeer “van de verkeerde machine” kan tellen
De backdoor monitort verkeer op elke bekeken netwerkinterface. In de analyse staat dat de listener “alles” vastlegt dat over een interface beweegt, inclusief traffic die niet rechtstreeks voor het betreffende apparaat bedoeld is.
Concreet betekent dit: als er netwerkcomponenten zijn die segmenten samenbrengen (bijvoorbeeld een gateway, VPN-server of brug tussen netwerken), kan een triggerpakket dat voor een andere host bedoeld was, toch binnen het bereik van de interface vallen.
Daarom is het risico niet alleen host-gebonden. Je moet ook nadenken over de omgeving waarin die interfaces zich bevinden.
Transports en uitvoer: van TCP/UDP tot VMCI
De backdoor ondersteunt meerdere “transports” voor het ontvangen van triggers en communicatie. In de beschrijving worden onder andere TCP, UDP, ICMP genoemd, plus SMB named pipes die ook laterale verplaatsing met geauthenticeerde sessies kunnen ondersteunen.
Verder gaat het om technieken die per platform en virtuele omgeving kunnen verschillen, waaronder:
- raw promiscuous capture voor het inspecteren van verkeer op een laag niveau
- VMware Virtual Machine Communication Interface (VMCI) voor communicatie die via de virtualisatielaag loopt
Een belangrijk praktisch punt uit de analyse: verkeer via VMCI verloopt niet via de “normale” netwerkadapter, waardoor een packet capture tussen twee machines dit type verkeer kan missen. Dit maakt monitoring in VMware-omgevingen extra uitdagend als je uitsluitend op standaard netwerklogging vertrouwt.
Detectie-indicatoren: waar je op kunt controleren
De publicatie bevat host-indicators die verdedigers kunnen gebruiken om afwijkingen te spotten. Daarbij benadrukt de onderzoeker dat sommige checks alleen echt betekenis hebben wanneer je ze vergelijkt met een bekende goede baseline.
Voorbeelden van indicatoren die genoemd worden:
- Een onverwachte dpapi.dll naast ERAAgent.exe
- Een onverwachte dpapisvc.dll in dezelfde map
- SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
- MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
- Registratiewaarde EveryoneIncludesAnonymous op 1
- Een onverwachte vermelding in NullSessionPipes
De beschrijving meldt ook dat er een YARA-regel en een read-only PowerShell-scanner is gedeeld waarmee je deze indicaties in een omgeving kunt toetsen. Let wel: de YARA-regel richt zich deels op statische sleutels en gecompileerde protocolcode. Bij een nieuwe build kunnen die kenmerken veranderen, waardoor alleen die regel niet voldoende is.
DNS-trigger en NullSessionPipes: kleine configuratie, groot bereik
Naast de primaire trigger is in de analyse ook sprake van een tweede activatiemechanisme op basis van DNS. Dat onderdeel zou in deze specifieke build niet actief zijn, maar het toont wel dat de malware meerdere activeringsroutes kan bevatten.
Verder zet SLEEPWALKER een registerinstelling om anonieme toegang mogelijk te maken voor een named-pipe kanaal. De beschrijving noemt expliciet dat er wordt gewerkt met EveryoneIncludesAnonymous en het opnemen van de pipe-naam in NullSessionPipes.
Opvallend detail is dat de cleanup routine niet controleert of een entry eerder bestond; hij noteert alleen of de eigen wijziging succesvol was. Daardoor bestaat het risico dat een authentieke waarde die al aanwezig was, tijdens opschonen onbedoeld kan worden verwijderd.
Geen duidelijke herkomst: targeted indruk, maar context ontbreekt
De malwareonderzoeker stelt dat de aanpak consistent lijkt met een gereserveerde, goed gefinancierde operatie in plaats van een opportunistische besmetting. Het gebrek aan bekende infrastructuur en de eigen bytecode-aanpak passen bij die conclusie.
Tegelijk is de bewijspositie beperkt: de analyse berust op één enkel bestand zonder extra context. Daardoor konden de onderzoekers (nog) niet vaststellen:
- welke actor verantwoordelijk is
- welke doelgroep of sector is getroffen
- in welk land de aanval past
- of de malware ooit echt groots is ingezet
Ook is er nog geen publiek gereedschap of mitigatiegids gevonden bij publicatiedatum. Het artikel meldt dat ESET is benaderd voor commentaar, maar dat er op dat moment geen openbaar advies of verklaring was.
Wat betekent dit voor organisaties? Praktische aanpak
Als je vermoedt dat de SLEEPWALKER backdoor in jouw omgeving kan spelen, is het verstandig om niet alleen op netwerk te leunen. Gebruik een combinatie van host- en configuratiecontrole.
1) Maak een baseline van de gebruikte mappen
Omdat de DLL side-loading draait op Windows-zoekvolgorde, is een baseline van bestandsinhoud naast kritieke agent-processen waardevol. Als je onverwachte dpapi.dll-achtige exports aantreft naast ERAAgent.exe of vergelijkbare processen, is dat een directe rode vlag.
2) Controleer named-pipe gerelateerde registry waarden
De waarden rond EveryoneIncludesAnonymous en NullSessionPipes zijn niet bedoeld als “standaard check” zonder context. Maar in een vergelijktable baseline kan een afwijking wel degelijk helpen om verdachte hostconfiguraties te vinden.
3) Versterk monitoring in virtualisatieomgevingen
In VMware-omgevingen kan VMCI verkeer buiten standaard packet capture vallen. Zorg dat je security monitoring ook die laag meeneemt of alternatieve signalen integreert.
4) Betrek incident response: rebuild boven patchen
Omdat het probleem draait om laden van een malicious DLL die al op de juiste plek staat, is “patchen” vaak niet het antwoord. Richt response-procedures in op containment, analyse en herstel (eventueel rebuild).
Snelle verdieping: verwante technieken en detectielessen
Deze casus past in een bredere trend waarin malware niet alleen een kwetsbaarheid misbruikt, maar ook legitieme softwareketens en laadmechanismen gebruikt. Als je wilt doorgronden hoe dergelijke schaduwcomponenten en beveiligingsomzeiling zich in de praktijk uiten, kan dit artikel helpen: AI supergebruikers en shadow AI-risico. De inhoud gaat niet over SLEEPWALKER zelf, maar wel over het herkennen van “ongewenste” routes binnen je ecosysteem.
Daarnaast is het nuttig om te beseffen dat detection regels kunnen breken wanneer aanvallers opnieuw compileren of sleutels aanpassen. Dat idee zie je ook terug bij analyses van “stille” wijzigingen in defensie—lees bijvoorbeeld: Silent patches: waarom ze je verdediging misleiden. Denk dus na over detectie die niet 100% afhankelijk is van statische indicators.
Conclusie
De SLEEPWALKER backdoor laat zien hoe geavanceerde malware zich kan gedragen als een stille gast: inactief in het geheugen, onttrokken aan directe netwerkverkeer-patronen, en geactiveerd via een specifiek triggerpakket. Door side-loading via DLL-zoekvolgorde en het imiteren van dpapi.dll-exports kan hij daarnaast gebruikmaken van vertrouwen in bestaande componenten.
Voor verdedigers betekent dit vooral: kijk verder dan alleen bekende IOC’s in uitgaand verkeer. Baseer je controles op bestandsafwijkingen naast agent-processen, registreer verdachte pipe- en registerwaarden, en zorg dat je monitoring werkt in virtuele omgevingen waar VMCI verkeer kan ontbreken in standaard captures.
Bron: https://thehackernews.com/2026/08/newly-sleepwalker-backdoor-waits-for.html
