特定パケットの受信で起動し独自命令を実行するWindows向け新型バックドア「SLEEPWALKER」が判明

要点

• 細工された特定のネットワークパケットを受信するまで休眠し、独自バイトコードを実行するWindows向けバックドア「SLEEPWALKER」が確認された。

• セキュリティ製品「ESET Management Agent」へのDLLサイドローディングで正規ファイルに偽装し、外部への自発的な通信を一切行わない。

• 23種類の専用命令と、VMwareの内部通信（VMCI）を含む6種類の通信プロトコルを備え、メモリ上でコードを実行する。

• 管理者権限の事前保持を前提とした侵入後の潜伏用インプラントであり、高度な標的型作戦に用いられる特徴を持つ。

• 特定のネットワークパケットを受信するまで活動を休止し、検知を巧妙に回避して潜伏するWindows向けバックドア「SLEEPWALKER」の存在が明らかになった。元Palo Alto Networks Unit 42のリサーチャーであるドミニク・ライヒェル（Dominik Reichel）氏による解析結果を、セキュリティメディアのThe Hacker Newsが2026年8月26日に報じた。外部への自発的な通信を行わず、独自開発された23の命令からなるバイトコードで動作するなど、高度なリソースを持つ攻撃組織による設計が示唆されている。

受動的なパケット待機と外部通信を行わない潜伏構造

SLEEPWALKERは、細工されたパケットが対象マシンに届くまでメモリ上で不活性状態を維持する受動型のバックドアだ。ファイル内にドメイン名、IPアドレス、URLといったC2（攻撃者がマルウェアへ遠隔指示を送る指令サーバー）情報を持たず、自身から外部への通信も行わない。そのため、既知の不正インフラへの接続を監視する一般的なセキュリティツールでは感染を見落とす可能性が高い。

埋め込まれた設定情報はAES-256-CCMで暗号化されており、復号すると全ネットワークインターフェースを無期限に監視してトリガーパケットを待つ単一の命令が現れる。パケット監視はプロミスキャス（無差別受信）モードで行われ、他端末宛ての通信も捕捉する。これにより、ゲートウェイやVPNサーバー、複数のネットワークセグメントを中継するホストに感染した場合、別マシン宛てに送られたトリガーパケットであっても検知して起動できる構造になっている。なお、バイナリ内にはDNSベースのトリガーも実装されているが、今回の検体では無効化されていた。

ESET製品へのDLLサイドローディングによる偽装

検体はサイズ59,904バイトの未署名64ビットDLL（動的リンクライブラリ）で、セキュリティ製品「ESET Management Agent」の実行ファイル「ERAAgent.exe」へのDLLサイドローディング（正規プログラムがライブラリを読み込む仕組みを悪用して不正ファイルを読み込ませる手法）によって動作する。Microsoftの正規ライブラリ「dpapi.dll」に偽装し、本物と同じ7つの関数をエクスポートするほか、ESET製品からコピーされたバージョンリソースを含んでいる。

本バックドアはホストプロセスの名前のみを照合し、パスや署名は検証しない。配置には事前のローカル管理者権限が必要で、マルウェア自身に権限昇格機能はなくホストの権限に依存する。そのため初期侵入用ではなく、侵入後に設置されるインプラントとされる。永続化はサービス起動ごとのサイドローディングのみに依存する。これはWindowsのDLL検索順序に基づくものでESET側の脆弱性ではないため、修正パッチではなくインシデント対応とOS再構築が必要になるという。

23種類の専用命令とVMCIを含む多彩な通信路

攻撃者からの指示は可読テキストではなく独自バイトコードで送られるため、暗号鍵を特定しても本ファイル専用のオペコード（命令コード）が得られるのみとなる。実装された23種類の命令には、スケジューリング、複数のデータ転送、SHA-256ハッシュで検証する段階的なファイル配信、メモリ上でのコード実行が含まれる。ディスクへの書き込み命令は存在せず、必要なファイルは事前配置を前提とする。

通信プロトコルはTCP、UDP、ICMP、SMB名前付きパイプ、Rawパケットキャプチャに加え、VMwareの内部通信であるVMCI（Virtual Machine Communication Interface：仮想マシンとホスト間で直接通信を行うインターフェース）の6種類をサポートする。VMCIは仮想化層を通るため、物理ネットワーク上のキャプチャを完全に回避できる。過去にはUNC3886がESXiホストと仮想マシン間の永続化に悪用した前例がある。また名前付きパイプの非認証アクセスを許可するためレジストリを変更するが、クリーンアップ処理の不備により、削除時に既存の正規エントリまで消去してしまう可能性がある。

作戦の背景と侵害指標

ライヒェル氏は本マルウェアの構造について、「偶発的なものではなく、十分なリソースを持つ組織による標的型作戦の傾向と一致している」と評価している。

ただし、今回の分析は収集経緯が不明な単一のバイナリに基づくもので、攻撃グループの特定や被害組織・業界・国、実際の展開有無は確認されていない。なお、ESET製品を悪用したサイドローディングとしては過去にToddyCatによる事例が報告されている。The Hacker NewsがESETにコメントを求めたが、8月26日時点で同社からの公式声明は出されていない。

公開された主な侵害指標（IoC）は以下の通りだ。

• ERAAgent.exe と同一ディレクトリ内の予期しない dpapi.dll または dpapisvc.dll
• SHA-256: d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60
• MD5: 2318327b29bb1c0e2d2b5f0211fc7fac
• レジストリ EveryoneIncludesAnonymous の値が 1
• NullSessionPipes 内の予期しないエントリ