Sleepwalker：独自のコマンド言語用いるWindowsバックドアが見つかる

Sleepwalker：独自のコマンド言語用いるWindowsバックドアが見つかる

The Register – Mon 24 Aug 2026

スリーパーセルのように密かにメモリ内に潜伏し、コマンドを配送する特別なネットワークパケットを待つこれまで知られていなかったWindowsバックドア「Sleepwalker」について、マルウェア研究者のDominik Reichel氏が報告。このパケットが届けるのは読み取り可能なコマンドではなく、同バックドア独自のコマンド言語で書かれた短いプログラムだという。

Reichel氏は、2026年初頭にVirusTotal Intelligenceへのアクセスを失って新しい興味深いマルウェアをハンティングできなくなったことを受け、2025年から集めていてそのまま分析することなく手付かずになっていたマルウェア関連情報の調査を開始。その結果、Sleepwalkerの発見に至ったという。

Sleepwalkerは、64bit版Windows DLLファイルの内部に隠されており、Windowsの正規のデータ保護APIの一部である「dpapi.dll」になりすます。このファイルには、ESET Managementエージェントの偽造バージョンリソースも含まれ、サイドローディングによって、ESET Managementエージェント向けのWindows実行ファイルである「ERAAgent.exe」へとロードされる。このようにDLLサイドローディングが使われることはわかっているものの、初期アクセスの経路は不明だという。

Sleepwalkerはその後、メモリ内部で潜伏。その他大半のバックドアのように攻撃者のC2サーバーへコールバックしてコマンドを受け取り始めることはなく、ただネットワークを通過するパケットを密かにチェックし、特定のパターンを探す。そしてこのパターンに合致するマジックパケットが届くと、Sleepwalkerはこのデータを復号し、コマンドとして処理する。

潜伏期間中、Sleepiwalkerは自身で何かを外部へ送信したり、明らかなリスニングポートをデフォルトで開いたりすることがない。このため、既知の悪性ドメインへの接続や異常なアウトバウンドトラフィックを監視するセキュリティツールでは異常を検知しにくいとReichel氏は指摘した。

AES-256-CCMで暗号化されたSleepwalkerへのコマンドは、復号するとテキストやドキュメントではなく、独自のコマンド言語で書かれたバイト列になる。このバイト列は、特定の順番で読み取らない限り意味をなさない仕様になっているとされる。Sleepwalkerは23種類のコマンドに対応しており、各コマンドがこの独自のコマンド言語を用いて記述されているという。

コマンドには、exitコマンドなどのベーシックなものもあれば、データの送信・隠蔽に関するコマンドなども存在。このうち1つは、指定されたアドレス・ポートへのTCP接続を開始し、データブロックをリモートのホストに送るというもので、送信先は通常のネットワークアドレスの代わりにVMware VMCIターゲットにもなり得るとされる。また別のコマンドは、データブロックを指定されたコンピューター上の名前付きパイプへ書き込むというもので、必要であれば、接続前に指定されたユーザー名とパスワードを使って認証することもできるという。

Sleepwalkerについてはまだ謎が多く、確認済みの侵入事例と紐付けられているわけではないため、被害者や業界、国、影響を受けた組織などについては特定できないとReichel氏はコメント。また、既知の脅威グループの関与を示唆するようなコードも見つかっていない上、Sleepwalkerがいつ、どれくらい広範囲に展開されたのかや、亜種が存在するのか否かなどもわかっていないという。一方で同氏は、「総合的に見て、今回確認された手法は、無差別で機会的な攻撃というより、十分なリソースを投入した標的型の攻撃活動を示唆している」とも述べている。

Reichel氏は同バックドアの受信処理を安全に再現できるツールキットを開発したと述べ、感染している可能性がある人々へ自身に連絡するよう呼びかけた。同氏はまた、緩和策ガイドおよび感染が発覚した際に使用できる修復スクリプトも作成済みとのこと。