SLEEPWALKER：C2通信を行わない高潜伏型バックドア

SLEEPWALKERは、独自の設計思想を持つきわめて特徴的な受動型（パッシブ）バックドアです。
このマルウェアは、自身の中に実行用ペイロードを持たず、外部の固定されたC2（Command and Control）サーバとの通信も一切行わないという既存のバックドアとは異なる挙動を示します。
特定の正規プロセスに潜伏しながら特定の暗号化ネットワークパケットの到着をひたすら待機するため、ネットワークベースの検知を非常に困難にしています。
特徴的な部分をみてみましょう。

• 正規セキュリティ製品（ESET Management Agent）へのサイドローディング
  dpapi.dll になりすました未署名の64ビットDLLとして提供されます。
  プロセス名がESETの管理コンポーネントである ERAAgent.exe である場合のみアクティブ化し、サンドボックスやデバッガ内での意図しない実行や解析を回避します。
• 自律的なビーコン通信（C2接続）の不在
  起動後に外部のC2サーバーへ自動接続（ビーコン）を行わず、接続先のIPアドレスやドメイン情報も内部に保持していません。
  Raw Socketによるプロミスキャスモード（パケット盗聴）やDNSクエリの監視など複数の受信パスを用意し、送信されてくる特定の「マジックパケット（トリガー）」を無応答で待ち受けます。
• 独自設計の「内部コマンド言語（バイトコード）」の搭載
  トリガーパケット内には直接的な平文コマンドではなく、独自設計の23種類の命令セットで構成されたバイトコードが暗号化されて含まれています。
  復号鍵を入手するだけでなく、この独自のインタープリタ（解釈器）構造をリバースエンジニアリングしなければ攻撃者の意図する実行プログラムを解読できません。
• 多様な通信機能とホスト設定の弱体化
  メモリ上でのシェルコード実行、ステージング配信、スケジューリングのほか、TCP/UDP/ICMP、SMBの名前付きパイプ、VMwareのVMCIチャネル、DNSクエリなど多様なトランスポートに対応しています。
  認証なしの名前付きパイプ接続を確立させるため、侵入先ホストのWindows設定を変更し、SMBのアノニマスアクセスを有効化するような設定変更を自ら行います。

SLEEPWALKERは、通信を自発的に発生させない高度な潜伏性と、独自バイトコード解釈機能による拡張性を兼ね備えた高度標的型攻撃（APT）用インプラントと推定されています。
単体では固定のC2インフラを持たないため、従来のファイアウォールやIDS/IPSによる境界型防御、IP/ドメインベースの静的検知は一切通用しません。
そのため、正規プロセスの整合性監視（DLL読み込みの検証）やプロミスキャスモードの検知など、エンドポイント側での多層的な監視強化が不可欠です。

SLEEPWALKER: A Passive Backdoor With Its Own Command Language
https://r136a1.dev/2026/08/24/sleepwalker-a-passive-backdoor-with-its-own-command-language/