SLEEPWALKER：独自のコマンド言語を持つ受動的バックドア

Sleepwalker: Passive Backdoor with Its Own Command Language

SLEEPWALKERは、ESET Management Agentの実行ファイルにDLLサイドローディングされる受動的バックドアです。外部への接続を一切行わず、メモリ上で待機し、特定の細工されたネットワークパケット（マジックパケット）を受信したときだけ起動します。このパケットには、読み取り可能なコマンドではなく、バックドア独自の設計による23の命令からなるバイトコードプログラムが含まれています。AES-256-CCMで暗号化され、mbedTLSが静的リンクされています。この記事では、ファイルの特性、起動シーケンス、ネットワーク上の隠蔽方法、コマンド言語の詳細、そして検出のためのIOCとYARAルールを解説します。