Cuando el silencio se convierte en el arma principal
En el arsenal de los atacantes avanzados, la discreción siempre ha primado sobre la velocidad. SLEEPWALKER, una puerta trasera para Windows documentada a finales de agosto de 2026 por el investigador independiente Dominik Reichel, lleva este principio a su extremo lógico: el implante no genera ninguna actividad de red observable mientras el atacante no envíe un paquete especialmente diseñado para activarlo. Sin puertos en escucha, sin conexiones salientes hacia un servidor de mando y control, sin latidos periódicos. Para las herramientas convencionales de monitorización de red, sencillamente no existe.
Un agente de gestión corporativa convertido en caballo de Troya
SLEEPWALKER se instala mediante DLL side-loading, una técnica que explota el comportamiento nativo de Windows durante la carga de bibliotecas. El objetivo elegido es ERAAgent.exe, el ejecutable del agente de gestión de ESET presente en gran cantidad de entornos corporativos. El implante se presenta como una DLL de 59 904 bytes que suplanta a dpapi.dll, una biblioteca legítima de la API de protección de datos de Windows, con las exportaciones correspondientes y un recurso de versión falsificado que imita a ESET.
Al arrancar el servicio del Agente de Gestión de ESET, Windows carga la DLL fraudulenta desde el directorio local antes de buscar en las rutas del sistema —un comportamiento documentado que la mayoría de los entornos nunca han instrumentado—. El implante queda entonces activo en memoria, invisible, a la espera de su señal.
Seis canales para recibir una sola orden
La sofisticación de SLEEPWALKER reside en la amplitud de sus mecanismos de escucha pasiva. El implante monitoriza de forma simultánea seis canales de transporte: TCP, UDP, ICMP, named pipes de SMB (lo que le confiere capacidad de movimiento lateral dentro de la red local), captura de paquetes en modo promiscuo, e interfaz VMCI de VMware para entornos virtualizados. Esta diversidad garantiza que el paquete activador pueda transitar por cualquier vía accesible a la máquina comprometida.
Una vez detectado y descifrado el paquete mediante AES-256-CCM, el implante ejecuta comandos escritos en un lenguaje bytecode propietario de 23 instrucciones, sin equivalente conocido en otras familias de malware. Este lenguaje gestiona la planificación de operaciones, las transferencias de datos con verificación SHA-256 y la ejecución de código directamente en memoria, sin escribir nunca en disco. Ningún dominio ni dirección IP está codificado de forma estática en el binario.
Lo que esto cambia para los equipos de seguridad corporativa
Las arquitecturas modernas de detección de red se basan en gran medida en la observación de comportamientos activos: conexiones hacia infraestructuras maliciosas conocidas, tráfico anómalo hacia el exterior, presencia de puertos inesperados. SLEEPWALKER invalida por completo este modelo. Un implante pasivo no alimenta ni las reglas de correlación del SIEM basadas en tráfico saliente ni las alertas de las sondas NDR que aguardan una firma de actividad.
La detección se convierte entonces en una cuestión de integridad de archivos del sistema y de análisis conductual de procesos: la presencia inesperada de un dpapi.dll en el directorio de ERAAgent.exe, de un dpapisvc.dll asociado, o de un valor de registro EveryoneIncludesAnonymous establecido en 1 son los escasos rastros observables. Reichel, ex miembro del Unit 42 de Palo Alto Networks, califica el enfoque como «coherente con una operación dirigida y con abundantes recursos» —un indicador de actor estatal o paraestatal, aunque ningún grupo ha sido formalmente atribuido—.
Una lección arquitectónica para los responsables de seguridad
El verdadero valor del análisis de SLEEPWALKER no reside en sus indicadores de compromiso específicos, fácilmente eludibles con un simple cambio de parámetro de compilación. Reside en lo que revela sobre los puntos ciegos estructurales de la detección de red corporativa: los agentes de gestión desplegados a gran escala constituyen una superficie de ataque privilegiada, precisamente porque operan con privilegios elevados y generan un tráfico que los equipos SOC han aprendido a ignorar. Monitorizar la integridad de estos componentes con el mismo rigor que los puntos de entrada expuestos a Internet ya no es una opción.