Il 24 agosto 2026 il ricercatore Dominik Reichel ha pubblicato l’analisi di un campione di malware per Windows che non assomiglia a nulla di visto prima: una DLL di 59.904 byte, battezzata da Reichel come SLEEPWALKER, che non contiene alcun codice malevolo, non contatta nessun server e non esegue nessuna azione. Resta in memoria, in silenzio, finché un pacchetto di rete specificamente costruito non la sveglia.
La scoperta è arrivata per caso. Reichel ha perso l’accesso a VirusTotal Intelligence all’inizio dell’anno e, senza il suo strumento di abituale, ha ripreso a lavorare sulla pila di campioni accumulati nei mesi precedenti. In quel backlog c’era un file che all’apparenza non prometteva granché. Guardandolo sotto la superficie, però, il design si è rivelato inusuale: una backdoor passiva che non apre porte di ascolto, non porta payload incorporati e non “telefona a casa”. Aspetta.
Come si nasconde SLEEPWALKER dentro un processo di ESET
Il file è una DLL a 64 bit per Windows, non firmata, con timestamp di compilazione al 10 giugno 2024. Copia le informazioni di versione dell’ESET Management Agent, il componente che collega i nodi gestiti alla piattaforma ESET PROTECT, e si fa passare per dpapi.dll, la libreria standard di Windows per la protezione dei dati. Esporta le stesse 7 funzioni della dpapi.dll originale, ma ogni chiamata viene instradata a un resolver che cerca un file chiamato dpapisvc.dll, un nome che non corrisponde a nessun componente reale di Windows.
Il meccanismo è il DLL side-loading: la DLL malevola viene posizionata nella stessa directory di ERAAgent.exe, l’eseguibile di ESET. Quando quel processo parte, Windows carica la dpapi.dll che trova nella cartella dell’app prima di controllare System32, e la copia falsa viene eseguita al posto di quella vera. La backdoor verifica solo il nome del processo host, non la firma né il percorso: se il nome è ERAAgent.exe, si attiva. Altrimenti resta inattiva.
Questo significa che un antivirus che vede un processo di ESET caricare una libreria con il nome di una DLL di Microsoft non ha motivo di insospettirsi. Il sistema operativo la considera un’attività legittima di un componente di sicurezza. È la definizione operativa di “nascondersi in piena vista”.
Il pacchetto di rete che sveglia la backdoor
SLEEPWALKER non ha un indirizzo C2 a cui connettersi. Non invia richieste, non stabilisce sessioni. Ascolta ogni interfaccia di rete alla ricerca di un pacchetto specifico, un cosiddetto Magic Packet, cifrato con AES-256-CCM con tag di autenticazione verificato. Quando quel pacchetto arriva, la backdoor lo decifra e interpreta il contenuto.
Il contenuto non è un comando leggibile. È un programma breve scritto in un linguaggio di comandi proprietario con 23 istruzioni, che coprono scheduling, consegna di payload in stadi con verifica SHA-256, esecuzione di shellcode direttamente in memoria e diverse modalità di trasporto di rete: TCP, UDP, ICMP, named pipe SMB con movimento laterale usando credenziali fornite, il canale VMCI interno di VMware per la comunicazione tra guest VM e host, e sniffing promiscuo su socket grezzi.
C’è anche un secondo canale di attivazione che nasconde i comandi dentro query DNS, un traffico che quasi ogni firewall aziendale lascia passare perché senza di esso non si naviga.
Riconoscere il pacchetto non basta. Una volta decifrato, il bytecode non è testo né un documento: va decompilato. Reichel ha usato i modelli AI di Anthropic e OpenAI per accelerare il reverse-engineering del linguaggio di comandi, un processo che altrimenti avrebbe richiesto molto più tempo. Ha però segnalato che i guardrail di sicurezza di quei modelli hanno interrotto più volte l’analisi, un problema che ha già portato a una discussione sul rapporto tra AI e ricerca di sicurezza.
Perché SLEEPWALKER è diverso dalla maggior parte dei malware
La maggior parte dei malware che circolano ha un set di strumenti precaricato: fingerprinting di sistema, mappatura di rete, esfiltrazione dati, keylogging, cattura screenshot. Si installano, telefonano a casa e aspettano istruzioni. SLEEPWALKER non ha nessuno di questi.
Il file contiene un solo comando bootstrap: “ascolta ogni interfaccia di rete, in attesa, di quel pacchetto specifico”. Tutto il resto arriva dopo, via rete. Questo lo rende quasi invisibile dal punto di vista della scansione statica.
Reichel la descrive come “rough around the edges”: l’implementazione non è di altissimo livello e se il resolver non trova dpapisvc.dll chiude l’intero processo host invece di fallire solo quella chiamata. Questi dettagli suggeriscono che il campione analizzato potrebbe essere una versione iniziale e che varianti più rifinite possano già esistere in circolazione. Non lo si può escludere, ma non c’è nemmeno conferma.
Da quanto tempo esiste SLEEPWALKER
Il campione è stato depositato su VirusTotal “qualche tempo fa l’anno scorso”, secondo le parole di Reichel. Non è stato trovato in nessuna campagna attiva, non ci sono vittime confermate, settori, paesi o organizzazioni associate. Non si sa come il malware sia entrato nell’ambiente del reporter.
Il design, però, non sembra quello di un attacco indiscriminato. Reichel lo inquadra come un progetto probabilmente di una nation-state con target specifici: il side-loading in un componente di gestione aziendale, il linguaggio di comandi proprietario, i canali di comunicazione multipli inclusi il VMCI di VMware, l’uso di DNS come canale secondario. Sono gli ingredienti di un’operazione mirata, non di un malware da botnet. Il fatto che il codice sia sconosciuto a tutto ciò che Reichel ha visto in passato impedisce l’attribuzione a un attore specifico.
Per chi gestisce infrastrutture Windows con ESET PROTECT è importante verificare che non ci siano copie inaspettate di dpapi.dll nella directory di ERAgent.exe e che nessuna libreria con quel nome provenga da una directory non standard. Reichel ha pubblicato una regola YARA e uno script di scansione in sola lettura nel suo post tecnico, disponibile a r136a1.dev.
Il caso SLEEPWALKER si aggiunge a un quadro che si sta facendo sempre più complesso: vulnerabilità di Windows che restano scoperte per mesi, falle di Defender non risolte e ora una backdoor che sfrutta la fiducia che il sistema operativo ripone in un componente di sicurezza di terze parti.
