SLEEPWALKER missbraucht ESET Management Agent unter Windows

Die Backdoor SLEEPWALKER missbraucht unter Windows den Prozess ERAAgent.exe des ESET Management Agent für DLL Side-Loading. Betroffen sind nur Systeme mit diesem Management Agent, in deren Installationsumfeld die präparierte Datei dpapi.dll platziert wurde. Für andere ESET-Produkte oder Systeme ohne den Agenten ergibt sich aus den vorliegenden Berichten keine direkte Betroffenheit. Admins sollten betroffene Installationen heute auf die Datei und ungewöhnliche Netzwerkaktivität prüfen. Ein allgemeiner Patchaufruf lässt sich aus der Quellenlage nicht ableiten.

Technisch ist der Fund ernst, weil SLEEPWALKER ohne fest eingetragene Serveradresse passiv auf ein präpariertes Netzwerkpaket wartet. Die Malware baut keine eigene ausgehende Verbindung auf und kann so einfache Kontrollen umgehen, die vor allem neue Verbindungen beobachten. Ein gezielter Angriff gilt als wahrscheinlich, ist aber nicht bestätigt. Ursprung und verantwortlicher Akteur sind unbekannt. Unternehmen sollten deshalb faktenbasiert untersuchen, statt den Fund vorschnell einer Gruppe zuzuordnen.

Was ist über SLEEPWALKER bekannt?

SLEEPWALKER liegt als unsignierte 64-Bit-Windows-DLL mit einer Größe von 59.904 Bytes vor. Die Datei trägt den Namen dpapi.dll und kopiert die Versionsressource des legitimen ESET Management Agent, wodurch oberflächliche Dateiansichten einen vertrauten Eindruck vermitteln können. Eine gültige digitale Signatur ersetzt diese Ressource jedoch nicht, die fehlende Signatur bleibt ein wichtiger Prüfpunkt.

Die DLL exportiert sieben Funktionen, die sich wie eine echte Windows-DPAPI-Bibliothek präsentieren. Dadurch kann ERAAgent.exe die manipulierte Bibliothek laden, wenn Windows bei der DLL-Suche zuerst auf die Datei im kontrollierten Verzeichnis trifft. Dieser Mechanismus heißt DLL Side-Loading: Ein legitimer, erwarteter Prozess dient als Ladeumgebung statt einer auffälligen neuen ausführbaren Datei.

So funktioniert das DLL Side-Loading

Entscheidend ist nicht eine veröffentlichte CVE, sondern die Art, wie die Backdoor in einen vertrauenswürdig wirkenden Prozess gelangt. SLEEPWALKER prüft beim Start nur, ob der Prozessname ERAAgent.exe lautet. Eine Prüfung der digitalen Signatur oder des vollständigen Programmpfads findet den Berichten zufolge nicht statt.

1. Ein Angreifer bringt die präparierte Datei dpapi.dll in eine Position, aus der ERAAgent.exe sie lädt.
2. Der legitime Agent startet und bindet die DLL über die übliche Windows-Ladelogik ein.
3. Die Backdoor kontrolliert nur den Namen des ausführenden Prozesses.
4. Bei passendem Prozessnamen beginnt sie mit der passiven Überwachung des Netzwerkverkehrs.
5. Ein speziell aufgebautes Paket aktiviert die weitere Verarbeitung.
6. SLEEPWALKER entschlüsselt die Daten und führt proprietären Bytecode des Angreifers aus.

Die reine Namensprüfung setzt eine vorherige Manipulation des Systems voraus. Die Berichte belegen keinen direkten, unauthentifizierten Fernangriff allein durch die Anwesenheit des ESET Management Agent.

Warum die Backdoor im Netzwerk schwer auffallen kann

In der DLL sind keine Domains, IP-Adressen oder URLs eingebettet. SLEEPWALKER baut außerdem keine eigene ausgehende Verbindung auf. Stattdessen überwacht die Backdoor den Netzwerkverkehr und wartet auf ein präpariertes Paket, das den verschlüsselten Inhalt liefert, den die Malware entschlüsselt und als Bytecode ausführt.

Dieses passive Modell unterscheidet sich von Backdoors, die regelmäßig einen Command-and-Control-Server kontaktieren. Eine Sperrliste bekannter Zieladressen hilft hier nicht, solange keine Infrastrukturindikatoren bekannt sind. Auch das Ausbleiben neuer ausgehender Sitzungen ist kein Entwarnungsgrund. Als möglicher Transportweg wird unter anderem VMCI genannt, ein Mechanismus zur Kommunikation im Umfeld virtueller Maschinen. Untersuchungen dürfen sich deshalb nicht auf klassischen TCP- oder UDP-Verkehr zu externen Zielen beschränken, sondern müssen auch Host-Gast-Kommunikation und interne Segmente einbeziehen.

Wer ist betroffen und wer nicht?

Die Beschreibung bezieht sich auf Windows-Systeme mit installiertem ESET Management Agent. Der Produktname allein ist kein Infektionsnachweis. Eine Datei namens dpapi.dll außerhalb dieses Zusammenhangs bedeutet ebenfalls keine sichere Zuordnung, da Dateinamen wiederverwendet werden können. Entscheidend ist die Kombination aus Installationskontext, Signaturstatus, Ladebeziehung und Netzwerkverhalten.

Prüffrage	Einordnung
ESET Management Agent installiert?	Zum potenziellen Zielbereich zählend, priorisiert prüfen.
Kein ESET Management Agent vorhanden?	Der Side-Loading-Pfad über ERAAgent.exe trifft nicht zu.
Unsignierte dpapi.dll im Agentenumfeld?	Verdächtiger Befund, forensisch sichern und untersuchen.
Nur ausgehende Verbindungen geprüft?	Unzureichend, da SLEEPWALKER selbst keine Verbindung aufbaut.
Akteur oder Kampagne bekannt?	Nein, Ursprung und Akteur sind derzeit unbekannt.

Wie kritisch ist der Fund?

Für nachweislich manipulierte Systeme ist der Fund kritisch: vom Angreifer gelieferter Bytecode kann im missbrauchten Prozess ausgeführt werden, die passive Kommunikation erschwert Erkennung über einfache Netzwerkregeln. Für alle Windows-Systeme insgesamt ist die Lage enger einzugrenzen, da nur Installationen mit ESET Management Agent betroffen sind.

Die Berichte sprechen für einen wahrscheinlich gezielten Einsatz. Diese Einschätzung ist plausibel, aber nicht bestätigt. Weder eine belastbare Zuordnung zu einer Angreifergruppe noch veröffentlichte Infrastrukturindikatoren liegen vor. Erfundene Hashwerte, Versionsgrenzen oder Herstellerreaktionen würden die Prüfung eher behindern. Admins sollten mit den belegten Merkmalen arbeiten und lokale Befunde sorgfältig korrelieren.

Was sollten Admins jetzt tun?

• Bestand erfassen: Windows-Systeme mit ESET Management Agent identifizieren. Systeme ohne den Agenten können für diesen Prüfpfad zurückgestellt werden.
• Dateiumfeld und Signatur prüfen: Im Installationskontext von ERAAgent.exe nach dpapi.dll suchen, Fundorte und Zeitstempel dokumentieren und die fehlende oder vorhandene Signatur getrennt bewerten, unabhängig von kopierten Versionsinformationen.
• Ladevorgänge auswerten: Mit EDR, Sysmon oder vorhandener Telemetrie nachvollziehen, welche DLLs ERAAgent.exe geladen hat und aus welchen Verzeichnissen sie stammen.
• Netzwerküberwachung erweitern: Nicht nur neue ausgehende Verbindungen betrachten, sondern auch eingehende und interne Pakete zum Agentenprozess sowie ungewöhnliche Protokollmuster analysieren.
• Virtuelle Umgebungen einbeziehen: Bei VMware-basierten Systemen auch VMCI und relevante Host-Gast-Kommunikation in die Untersuchung aufnehmen.
• Verdachtsdateien forensisch sichern: Dateien vor Veränderung kopieren, Hashwerte bilden und Prozessabbilder sowie Speicherartefakte nach internen Verfahren sichern, bevor das System bereinigt wird.
• Systeme isolieren: Bei bestätigtem oder starkem Verdacht das Gerät kontrolliert vom Netz trennen, ohne flüchtige Spuren unnötig zu vernichten.
• Zugangsdaten rotieren und Wiederanlauf absichern: Nach bestätigter Kompromittierung privilegierte Zugangsdaten aus einem sauberen System rotieren, Ursache und initialen Zugriffsweg klären. Das bloße Löschen der DLL reicht nicht als Bereinigung.

Erkennung ohne fertige IOC-Liste

Da keine eingebetteten Domains, IP-Adressen oder URLs bekannt sind, sollte die Suche verhaltensbasiert erfolgen. Aussagekräftig ist die Kombination mehrerer schwacher Signale: eine unsignierte DLL im Agentenumfeld, die Dateigröße von 59.904 Bytes, kopierte Versionsressourcen, ein Ladevorgang durch ERAAgent.exe und auffälliger Netzwerkverkehr ohne korrespondierenden Verbindungsaufbau.

Dateigröße und Dateiname sind Suchhilfen, keine eindeutigen Indikatoren. Sinnvoll sind Abfragen, die Prozess, Pfad, Signatur, Modul und Netzwerkereignis verbinden. Wer seine EDR-Strategie überprüfen möchte, findet im Beitrag EDR und XDR für KMU auswählen und einführen zusätzliche Kriterien für Telemetrie und Reaktionsabläufe.

Einordnung für Unternehmen

Der Fall zeigt, warum Vertrauenswürdigkeit eines Prozesses nicht automatisch auf jedes geladene Modul übertragen werden darf. Management Agenten haben oft weitreichende Rechte und dauerhafte Präsenz. Werden sie als Ladevehikel missbraucht, kann normale Prozessbeobachtung ein falsches Sicherheitsgefühl erzeugen.

Für kleine und mittlere Unternehmen ist eine priorisierte Prüfung sinnvoller als eine flächendeckende Notfallreaktion: zuerst klären, ob der Agent eingesetzt wird, danach Signaturen, Modulpfade und Telemetrie prüfen. Vergleichbare Angriffe behandelt die Meldung zum EDR-Killer im Umfeld der Gentlemen-Ransomware. Hinweise zu unauffälligen Startketten bietet der Beitrag über Windows-Clipping-Malware über USB und LNK.

Passende Anleitungen auf S-EDV

• EDR und XDR für KMU auswählen und einführen: Kriterien für Sichtbarkeit und Reaktion.
• Gentlemen-Ransomware und EDR-Killer: Einordnung zum Ausschalten von Schutzsoftware.
• Windows-Malware über USB und LNK-Dateien: Prüfansätze für verdächtige Startketten.

Quellen

• BornCity: Windows Schwachstelle SLEEPWALKER, 31. August 2026.
• The Hacker News: Newly SLEEPWALKER Backdoor Waits for Network Trigger, 24. August 2026.
• The Register: SLEEPWALKER Backdoor on Windows, 24. August 2026.