O que aconteceu?

O pesquisador de malware Dominik Reichel publicou em 24 de agosto de 2026 uma análise sobre um backdoor Windows até então não documentado publicamente.

Ele recebeu o nome:

SLEEPWALKER

O malware chama atenção porque funciona de maneira diferente de muitos backdoors convencionais.

Depois de carregado, ele não tenta imediatamente se conectar a um servidor controlado pelo atacante.

Em vez disso, fica monitorando silenciosamente o tráfego recebido pela máquina até encontrar um pacote criado especificamente para ativá-lo. (R136a1)

Em termos simples

Um backdoor tradicional pode funcionar assim:

computador infectado → conexão com servidor do atacante → espera por comandos

O SLEEPWALKER funciona mais próximo de:

computador infectado → permanece silencioso → atacante envia pacote especial → malware desperta → executa comandos

Isso reduz significativamente a quantidade de atividade de rede produzida pelo implante enquanto ele está ocioso.

Malware é carregado através de DLL sideloading

A amostra analisada é uma DLL Windows de 64 bits, sem assinatura digital, com aproximadamente 60 KB.

Ela tenta se passar pelo arquivo legítimo:

dpapi.dll

e foi desenvolvida para ser carregada por:

ERAAgent.exe

o executável do ESET Management Agent. (R136a1)

A técnica utilizada é conhecida como:

DLL sideloading

O que é DLL sideloading?

Aplicações Windows normalmente carregam bibliotecas DLL necessárias para seu funcionamento.

Se uma aplicação legítima procurar uma biblioteca primeiro no próprio diretório e um atacante colocar ali um arquivo malicioso com o nome esperado, o programa pode carregar a DLL do criminoso.

O fluxo seria:

ERAAgent.exe legítimo → procura DLL → encontra dpapi.dll maliciosa → carrega SLEEPWALKER

Isso permite que o código malicioso seja executado dentro do contexto de uma aplicação legítima. (R136a1)

Uso do ESET não significa vulnerabilidade no produto

A presença do ERAAgent.exe na cadeia precisa ser interpretada corretamente.

A pesquisa demonstra que o malware utiliza o executável do ESET Management Agent como hospedeiro para DLL sideloading.

Isso não significa, por si só, que tenha sido descoberta uma vulnerabilidade no ESET Management Agent.

O arquivo malicioso precisa estar posicionado no ambiente de maneira que o programa legítimo consiga carregá-lo.

Até a publicação da matéria, também não havia sido divulgado publicamente como o malware chegava inicialmente ao sistema comprometido. (R136a1)

Backdoor não possui C2 fixo

Uma característica importante do SLEEPWALKER é a ausência de um endereço fixo de comando e controle embutido no malware.

Ele não possui necessariamente:

1. domínio C2;
2. endereço IP C2;
3. beacon periódico;
4. conexão persistente.

Segundo a análise, a configuração incluída na amostra basicamente instrui o malware a:

monitorar todas as interfaces de rede e esperar indefinidamente pelo pacote correto. (R136a1)

Por que isso dificulta a detecção?

Muitas ferramentas de segurança procuram comportamentos como:

1. conexões periódicas;
2. domínios maliciosos;
3. IPs conhecidos;
4. tráfego de beaconing.

Uma máquina com SLEEPWALKER pode ficar infectada sem produzir esse tipo de indicador.

Enquanto o atacante não enviar o pacote correto, o malware praticamente não precisa fazer nada na rede. (R136a1)

Um único pacote pode ativar o backdoor

O SLEEPWALKER monitora os pacotes que atravessam as interfaces de rede da máquina.

Segundo o pesquisador, ele consegue observar até oito interfaces simultaneamente, ignorando loopback e determinados endereços locais automáticos. (R136a1)

Quando identifica o pacote esperado, o conteúdo é descriptografado e entregue a um interpretador interno.

O pacote não contém simplesmente um comando como:

download file

ou:

run cmd

Ele carrega um pequeno programa escrito na própria linguagem do malware.

SLEEPWALKER possui linguagem própria com 23 instruções

Um dos recursos mais incomuns do backdoor é seu interpretador de bytecode personalizado.

O malware implementa 23 instruções que podem ser combinadas para formar tarefas mais complexas. (R136a1)

Entre as capacidades documentadas estão:

1. agendamento de tarefas;
2. comunicação via diferentes protocolos;
3. transferência de dados;
4. entrega de arquivos em estágios;
5. verificação SHA-256 de payloads;
6. execução de shellcode;
7. execução de código diretamente em memória. (R136a1)

Por que criar uma linguagem própria?

Em vez de o malware possuir todas as ações ofensivas gravadas diretamente em seu arquivo, o operador pode enviar pequenos programas contendo apenas as instruções necessárias.

Isso deixa o implante inicial relativamente pequeno e flexível.

Em outras palavras:

o backdoor fornece o interpretador; o atacante fornece o comportamento posteriormente.

Payload principal não vem dentro do malware

A própria amostra analisada não contém um grande conjunto pronto de funcionalidades maliciosas.

Ela fica esperando instruções externas.

O pesquisador afirma que tudo além da primeira instrução de espera precisa ser enviado posteriormente pela rede. (R136a1)

Isso também pode dificultar análises estáticas.

Um analista que possui apenas o arquivo do malware pode compreender as capacidades disponíveis, mas não necessariamente saber quais comandos foram realmente utilizados em uma vítima específica.

Malware suporta vários canais de comunicação

O interpretador possui suporte a diferentes mecanismos de rede.

Entre eles estão:

1. TCP;
2. UDP;
3. ICMP;
4. SMB Named Pipes;
5. raw sockets;
6. VMware VMCI. (R136a1)

Também existe um segundo mecanismo capaz de transportar comandos dentro de consultas DNS. (R136a1)

DNS como canal oculto

DNS está presente praticamente em todas as redes corporativas.

Uma consulta criada especialmente pelo operador pode carregar dados capazes de ativar ou enviar instruções para o malware.

Esse tipo de canal pode ser mais difícil de identificar quando a organização não analisa profundamente seu tráfego DNS.

SMB pode ser usado para movimentação lateral

O SLEEPWALKER também possui comandos relacionados a SMB Named Pipes.

Segundo o pesquisador, o malware consegue usar credenciais fornecidas pelo operador para acessar sistemas remotos e criar canais de comunicação. (R136a1)

Isso pode permitir movimentação lateral dentro de uma rede comprometida.

Além disso, o backdoor altera configurações locais do Windows para permitir determinadas conexões SMB anônimas.

Entre as mudanças observadas está a configuração:

EveryoneIncludesAnonymous = 1

e a criação de entradas em:

NullSessionPipes (R136a1)

Essas mudanças reduzem a segurança do sistema e podem servir como indicadores importantes durante uma investigação.

VMCI permite comunicação fora da rede tradicional

Outra capacidade incomum envolve:

VMware Virtual Machine Communication Interface — VMCI

O VMCI permite comunicação entre uma máquina virtual e seu host VMware sem passar necessariamente por uma interface de rede convencional.

O SLEEPWALKER implementa suporte a esse mecanismo. (R136a1)

Por que isso importa?

Ferramentas tradicionais de captura de rede podem observar:

máquina → switch → servidor

Porém, uma comunicação utilizando VMCI pode ocorrer diretamente através da camada de virtualização.

Isso significa que determinados sensores de rede convencionais podem não enxergar essa atividade.

O recurso é especialmente relevante em ambientes virtualizados e data centers.

Código pode ser executado diretamente na memória

O SLEEPWALKER também possui uma instrução para executar shellcode diretamente em memória.

O malware:

1. reserva memória;
2. copia o código recebido;
3. altera as permissões;
4. executa o payload;
5. libera a região posteriormente. (R136a1)

Isso permite adicionar funcionalidades sem necessariamente gravar um novo executável tradicional no disco.

Esse comportamento reduz a quantidade de artefatos disponíveis para ferramentas focadas apenas em arquivos.

Criptografia protege as instruções

O backdoor utiliza uma cópia integrada da biblioteca criptográfica:

mbedTLS

para proteger suas comunicações. (R136a1)

Os programas enviados ao implante utilizam:

AES-256-CCM

e determinados comandos internos também utilizam camadas adicionais de XOR. (R136a1)

Por isso, recuperar apenas a chave criptográfica não basta necessariamente para interpretar as comunicações.

Também é necessário compreender o formato e a linguagem interna de 23 instruções utilizada pelo malware.

Não há atribuição a um grupo conhecido

O pesquisador afirma que não encontrou código semelhante suficiente para relacionar o SLEEPWALKER a um ator específico.

Também não existem informações públicas completas sobre:

1. vetor inicial de comprometimento;
2. organizações afetadas;
3. países atingidos;
4. objetivos dos operadores;
5. número de sistemas infectados. (R136a1)

Portanto, qualquer atribuição a um grupo APT específico neste momento seria especulativa.

A arquitetura, porém, levou o pesquisador a considerar que a ferramenta provavelmente faz parte de uma operação direcionada que possui outros componentes ainda não identificados. Essa é uma avaliação técnica, não uma atribuição confirmada. (R136a1)

Indicadores de comprometimento

O pesquisador publicou alguns indicadores relacionados à amostra analisada.

SHA-256

d347170752a28e2b8c4b8b9f3cab2e3a6541ba11682c94498d26eb9002779d60 (R136a1)

Arquivos suspeitos

A presença inesperada de:

dpapi.dll

ao lado de:

ERAAgent.exe

é um dos principais indicadores.

Também foi identificado:

dpapisvc.dll

no mesmo diretório. (R136a1)

Esses nomes, isoladamente, não significam automaticamente comprometimento fora do contexto descrito.

Registro do Windows

Investigar alterações inesperadas em:

EveryoneIncludesAnonymous

e:

NullSessionPipes (R136a1)

O próprio pesquisador ressalta que essas configurações precisam ser comparadas com um baseline conhecido do ambiente, pois não são evidência conclusiva de SLEEPWALKER isoladamente.

Como detectar?

A principal dificuldade é que o malware pode permanecer silencioso por longos períodos.

Por isso, a detecção não deve depender apenas de conexões de rede.

Verificar DLL sideloading

Equipes de segurança devem investigar:

1. ERAAgent.exe carregando DLLs de diretórios inesperados;
2. presença de dpapi.dll próxima ao executável;
3. DLLs não assinadas carregadas por aplicações confiáveis;
4. alterações recentes nos diretórios do ESET Management Agent.

Monitorar alterações SMB

Alterações inesperadas relacionadas a:

1. acesso anônimo;
2. NullSessionPipes;
3. permissões de SMB;

merecem investigação.

Analisar DNS e pacotes incomuns

Ambientes de maior criticidade podem se beneficiar de análise capaz de identificar:

1. consultas DNS anormais;
2. pacotes ICMP contendo payloads incomuns;
3. tráfego bruto incompatível com o padrão do endpoint.

O desafio é evitar gerar grandes volumes de falsos positivos.

Análise Técnica CyberX

O silêncio é a principal arma do SLEEPWALKER

O aspecto mais interessante desse malware é o que ele não faz.

Ele não precisa:

1. resolver domínio C2;
2. abrir uma porta evidente;
3. enviar beacon a cada minuto;
4. manter conexão persistente.

Para determinadas soluções de NDR, um endpoint pode parecer completamente normal enquanto o malware espera pelo pacote correto.

Isso torna a ausência de tráfego malicioso conhecido um indicador fraco para descartar comprometimento.

O modelo inverte a comunicação tradicional

Em muitos RATs:

implante procura atacante.

No SLEEPWALKER:

atacante procura implante.

Essa inversão elimina grande parte da comunicação outbound que normalmente é utilizada para detectar C2.

É uma estratégia particularmente interessante para ambientes onde conexões externas dos endpoints são monitoradas com rigor.

Linguagem própria dificulta engenharia reversa

Outro ponto relevante é o bytecode personalizado.

Um pesquisador não precisa apenas:

descriptografar → ler comando.

Ele precisa:

descriptografar → interpretar formato → reconstruir linguagem → entender programa.

Essa camada adicional aumenta o custo da análise e permite que os operadores alterem o comportamento sem substituir necessariamente o backdoor instalado.

IOC de rede pode praticamente não existir

Uma estratégia de SOC baseada principalmente em:

1. IP;
2. domínio;
3. URL;

terá pouca eficácia contra uma amostra desse tipo enquanto ela estiver ociosa.

Os sinais mais valiosos passam a estar no host:

1. DLL inesperada;
2. sideloading;
3. alterações no Registro;
4. permissões SMB anormais;
5. memória do processo;
6. comportamento de captura de pacotes.

Esse é um exemplo claro da importância de combinar:

EDR + NDR + telemetria de identidade + baseline do sistema.

VMCI merece atenção em ambientes VMware

O suporte a VMCI é especialmente interessante.

Comunicação entre guest e host através da camada de virtualização pode criar um ponto cego para ferramentas posicionadas apenas na rede física.

Organizações com infraestrutura VMware precisam considerar telemetria também no:

1. hypervisor;
2. host;
3. guest;
4. camada de gerenciamento.

Não é suficiente pressupor que todo movimento de dados relevante passará por uma interface Ethernet monitorada.

Sideloading em software de segurança aumenta a camuflagem

O uso de ERAAgent.exe também cria um contexto de confiança interessante.

Um analista pode ver um processo pertencente a um produto de segurança e considerar sua execução normal.

Mas o processo legítimo está sendo utilizado apenas como carregador.

Por isso, a CyberX recomenda não criar exceções excessivamente amplas para ferramentas de segurança dentro de EDRs.

Um processo confiável executando um módulo desconhecido continua sendo um comportamento que precisa ser avaliado.

Recomendação CyberX

Empresas que utilizam o ESET Management Agent em Windows devem verificar principalmente:

1. integridade do diretório de instalação;
2. DLLs presentes ao lado de ERAAgent.exe;
3. assinatura digital dos módulos carregados;
4. alterações recentes na pasta;
5. configurações SMB anormais.

Para ambientes de alta criticidade, também é recomendável criar regras comportamentais para:

executável assinado → carregamento de DLL não assinada no mesmo diretório

e combinar isso com telemetria de rede.

Se o indicador de hash publicado for encontrado, o equipamento deve ser isolado e analisado como potencialmente comprometido.

Conclusão

O SLEEPWALKER apresenta um modelo de backdoor projetado para produzir o mínimo possível de sinais enquanto não está sendo utilizado.

Ele permanece em memória esperando por um pacote específico e, depois de ativado, interpreta uma linguagem própria com 23 instruções capazes de controlar comunicação, movimentação de dados e execução de código. (R136a1)

A pesquisa ainda não revelou quem desenvolveu o malware, como ele chega às vítimas ou quantos ambientes foram comprometidos.

Por isso, não existe base pública para atribuí-lo a um grupo específico.

O principal alerta técnico é outro:

uma máquina comprometida não precisa manter comunicação constante com um C2 para continuar sob controle de um atacante. Um implante passivo pode permanecer praticamente invisível até o momento exato em que seu operador decide ativá-lo.

Referências

Esta notícia foi elaborada a partir da matéria publicada pelo The Hacker News em 26 de agosto de 2026 e validada com a análise técnica original “SLEEPWALKER: A Passive Backdoor With Its Own Command Language”, publicada pelo pesquisador independente Dominik Reichel em 24 de agosto de 2026. (The Hacker News)