SLEEPWALKER：潜伏在 ESET 里的被动后门
Sleepwalker: Passive Backdoor with Its Own Command Language
我意外发现了一款名为 SLEEPWALKER 的被动后门，它伪装成 Microsoft 的 dpapi.dll，通过 DLL 侧加载植入 ESET Management Agent 的 ERAAgent.exe 进程中。与常规恶意软件不同，它不主动连接 C2 服务器，而是静默监听网络，直到捕获特定的加密触发数据包才会苏醒。更令人惊讶的是，它内置了一套独有的命令语言，接收的并非简单指令，而是需要反编译才能理解的字节码程序。这种设计使其极难被传统网络监控发现，直到攻击者发送那个精心构造的“魔法包”。
它不打开任何明显的监听端口，自身也不携带任何载荷，只是潜伏在内存中无所事事，直到一个精心构造的网络数据包抵达机器。
HN 评论区
16- int0x29
> 这是一段原始字节序列，只有在按特定顺序读取时才有意义。
这种毫无用处的句子，正是让阅读 AI 生成的文本变得如此痛苦的原因。
- ang_cire
这非常酷。这看起来绝对是一次由具备良好技术能力和显著资源的攻击者发起的早期或一次性定向攻击，即使它本身算不上顶级水平。真是个很棒的发现！
- fabioyy
在我当脚本小子的年代（30 年前），我在 Linux 上做过类似的事情，用的是原始套接字，我想当时用的是 ETH_P_ALL。我把代码嵌入到一个已有的常规 Linux 进程中（重新编译了源代码），问题是当网络负载很高时，该进程的 CPU 占用率会飙升。当然，一旦操作系统更新了这个程序，它就活不成了。