Die von Dominik Reichel im August 2026 veröffentlichte Analyse enthüllt eine bislang unbekannte Windows-Malware, die sich über das legitime ESET Management-Agent-Programm (ERAAgent.exe) einnistet, über DLL-Sideloading die manipulierte Bibliothek dpapi.dll lädt und anschließend über eine eigens entwickelte 23-Instruktions-Bytecode-Sprache gesteuert wird. Ohne aktive C2-Verbindung agiert die Backdoor passiv und erwacht nur, wenn ein exakt formatiertes Magic Packet im Netzwerkverkehr erkannt wird. Diese Eigenschaften machen herkömmliche perimeter- und netzwerkbasierte Sicherheitslösungen wirkungslos und erfordern ein Umdenken hin zu Host-Forensik-Monitoring und YARA-Scanning.

Proprietäre Bytecode-Architektur mit 23 Instruktionen

Sleepwalker verwendet eine eigenständige virtuelle Maschinensprache, die aus exakt 23 unterscheidbaren Opcode-Instruktionen besteht. Diese Opcode-Palette ermöglicht das Laden, Planen und Ausführen von Tasks, das Staging von Payload-Fragmenten und das direkte Schreiben von Maschinencode in den Arbeitsspeicher. Für die Ausführung reserviert die Malware einen Puffer von 128 KB, in dem fragmentiert eintreffende Programme zusammengebaut werden.

  • Umfang des Befehlssatzes: 23 Instruktionen (2026)
  • Reservierter Speicherpuffer: 128 KB für fragmentierte Task-Programme (2026)

Systemschwächung für laterale Bewegung via SMB und Named Pipes

Um die seitliche Ausbreitung im Firmennetzwerk zu erleichtern, manipuliert Sleepwalker Windows-Sicherheitsrichtlinien. Der Registry-Schlüssel EveryoneIncludesAnonymous wird auf den Wert 1 gesetzt, wodurch anonyme SMB-Zugriffe ermöglicht werden. Zusätzlich werden offene Named Pipes eingerichtet, sodass Angreifer ohne Authentifizierung über SMB und Named Pipes kommunizieren können.

  • Exportierte DPAPI-Funktionen: 7 gefälschte Schnittstellenaufrufe an dpapisvc.dll (2026)
  • Registry-Manipulationen: EveryoneIncludesAnonymous=1, offene Named Pipes

Kryptografie-Implementierung über eingebettetes mbedTLS

Alle Befehle werden mit AES-256-CCM verschlüsselt. Statt der nativen Windows-Krypto-APIs nutzt die Malware eine statisch eingebaute Open-Source-Bibliothek (mbedTLS). Dadurch wird ein API-Hooking durch EDR-Lösungen verhindert und die Integrität der verschlüsselten Kommunikation sichergestellt.

  • Kryptografischer Schlüsselstandard: 256-Bit AES im CCM-Modus (2026)

Mehrschichtige Verschlüsselung der Befehle

Jedes Kommando wird vor der Ausführung mit AES-256-CCM geschützt. Die Verschlüsselung sorgt dafür, dass einfache Netzwerkanalysen die Inhalte nicht entschlüsseln können. Selbst das Auslesen des Schlüssels aus dem Speicher reicht nicht aus, um die Anweisungen zu verstehen, da sie nicht als Klartext, sondern als proprietäre Opcodes vorliegen.

Kommunikation über VMware-Kanäle

Sleepwalker nutzt das Virtual-Machine-Communication-Interface (VMCI) von VMware. Dieser Kanal ermöglicht den Austausch von Daten zwischen einer virtuellen Maschine und dem Host, ohne dass physische Netzwerkschnittstellen beteiligt sind. Dadurch bleibt die Kommunikation vollständig unsichtbar für klassische Netzwerk-IDS/IPS.

Alternative Steuerung über DNS-Trigger

Als zweite Steuerungsmöglichkeit verwendet die Malware ungenutzte DNS-Abfragen. Befehle werden in den Host-Teil eines Domainnamens eingebettet. Da DNS-Verkehr in Unternehmensfirewalls fast immer erlaubt ist, können die Anweisungen unbemerkt an die Backdoor übermittelt werden. In der analysierten Version war diese Funktion bereits integriert, jedoch noch nicht aktiv geschaltet.

Erkennungsstrategien und forensische Indikatoren

Die traditionellen Signatur-basierenden IDS/IPS können die Backdoor nicht erfassen. Stattdessen sollten Administratoren folgende Indikatoren prüfen:

  • Unerwartete dpapi.dll oder dpapisvc.dll im Installationsverzeichnis des ESET Management Agents
  • Registrierungswert EveryoneIncludesAnonymous gleich 1
  • SHA-256-Hash der manipulierten DLL (wie im Blog angegeben)
  • Aktive YARA-Regeln, die die 23-Opcode-Sequenzen und den 128 KB-Puffer erkennen

Zusätzlich sollten Unternehmen das Host-Forensik-Monitoring verstärken und nach Anomalien im SMB-Zugriff sowie nach offenen Named Pipes suchen.

FAQ zur Sleepwalker-Backdoor

Ist die Antivirensoftware von ESET selbst unsicher oder kompromittiert?Nein. Die Malware nutzt das bekannte Verfahren des DLL-Sideloadings, bei dem legitime Binärdateien (hier ERAAgent.exe ) manipulierte Bibliotheken gleichen Namens laden. Es handelt sich um einen Missbrauch der Ausführungsumgebung, nicht um eine Sicherheitslücke im Code von ESET.Welche Spuren hinterlässt die Sleepwalker-Backdoor auf einem infizierten System?Typische Indikatoren (IoCs) sind eine unerwartete dpapi.dll oder dpapisvc.dll im ESET-Verzeichnis, angepasste Registry-Werte für EveryoneIncludesAnonymous=1 sowie der veröffentlichte SHA-256-Hash der manipulierten Bibliothek.

Risiken und Gegenmaßnahmen

Die Backdoor ist abhängig von administrativen Rechten, um Raw-Socket-Berechtigungen und Promiscuous-Mode zu nutzen. Ohne vorherige Kompromittierung administrativer Zugänge kann Sleepwalker nicht aktiv werden. Gleichzeitig können falsche Positive bei Registry-Prüfungen entstehen, da Änderungen an NullSessionPipes oder EveryoneIncludesAnonymous in Legacy-Umgebungen vorkommen. Administratoren sollten daher jede Abweichung mit einer bekannten Baseline abgleichen.

Fazit

Sleepwalker demonstriert, wie eine passive Backdoor mit einer eigenen 23-Instruktions-Bytecode-Sprache, AES-256-CCM-Verschlüsselung und VMware-basierten Kommunikationskanälen herkömmliche Sicherheitsmodelle umgehen kann. Die Nutzung von DLL-Sideloading über den ESET Management Agent, die Manipulation von SMB- und Named-Pipe-Einstellungen sowie die Verschlüsselung über eingebettetes mbedTLS erschweren die Erkennung erheblich. Unternehmen müssen ihre Erkennungsstrategien von reinen Netzwerk-Checks zu proaktivem Host-Forensik-Monitoring und YARA-Scanning umstellen, um die von Sleepwalker gesetzten neuen Maßstäbe zu adressieren.