SLEEPWALKER introduce una puerta trasera para Windows que solo despierta con un único paquete de red

Una nueva amenaza de ciberseguridad ha puesto en alerta a los expertos: se trata de SLEEPWALKER, una puerta trasera para sistemas Windows que desafía los métodos tradicionales de detección. A diferencia del malware habitual, que suele comunicarse periódicamente con servidores de control o deja rastros evidentes en la red, este implante permanece completamente inactivo hasta que recibe un único paquete de red diseñado específicamente para activarlo. Una vez desencadenado, ejecuta un código en un formato propio, minimizando así su exposición y complicando su identificación con herramientas convencionales.

El diseño de SLEEPWALKER es especialmente sigiloso. En lugar de utilizar comandos en texto plano o estructuras fáciles de analizar, el paquete que lo activa contiene un pequeño programa en bytecode, un lenguaje de bajo nivel con 23 instrucciones personalizadas. Esto permite al malware realizar tareas complejas —como mover datos, descargar componentes adicionales o ejecutar código en memoria— sin generar patrones sospechosos en el tráfico de red. Además, su capacidad para inspeccionar paquetes en modo promiscuo le permite ocultar el disparador dentro de tráfico legítimo, como consultas DNS o comunicaciones IP rutinarias, lo que dificulta aún más su detección.

Camuflaje y vectores de ataque

Para pasar desapercibido, SLEEPWALKER se disfraza de un componente legítimo del sistema. En la muestra analizada, se presenta como una DLL de 64 bits que suplanta a dpapi.dll, una biblioteca estándar de Windows, e incluso imita sus metadatos para parecer auténtica. El malware se carga mediante una técnica conocida como DLL side-loading, aprovechando un ejecutable legítimo de ESET —ERAAgent.exe, parte de su suite de gestión remota— para pasar inadvertido. Solo se activa si el proceso anfitrión coincide con el esperado, lo que añade una capa adicional de control.

La configuración interna del implante está cifrada con AES-256-CCM, un estándar robusto que protege sus instrucciones iniciales. Entre sus funcionalidades, destaca la capacidad de modificar valores del registro de Windows para facilitar el acceso no autenticado a tuberías con nombre (named pipes), reduciendo así las barreras de seguridad del sistema. Aunque estos cambios requieren permisos de administrador, el malware no incluye mecanismos propios para escalar privilegios, lo que sugiere que los atacantes dependen de vulnerabilidades previas o credenciales comprometidas para desplegarlo.

Qué significa para tu negocio

Para una pyme, especialmente en sectores como la construcción, reformas o servicios técnicos, donde la ciberseguridad puede no ser una prioridad, SLEEPWALKER es un recordatorio de que las amenazas evolucionan hacia métodos más sofisticados y difíciles de detectar. Si tu empresa utiliza soluciones de seguridad como ESET PROTECT, es crucial revisar los directorios donde se instalan sus componentes en busca de archivos sospechosos, como una dpapi.dll no esperada o una dpapisvc.dll que no pertenece al sistema. Además, herramientas como LaiaDesk pueden ayudarte a monitorizar cambios en el registro o cargas anómalas de DLL, alertándote ante comportamientos fuera de lo común.

Más allá de la detección, la prevención pasa por endurecer las políticas de seguridad: limita los permisos de administrador, restringe la carga de DLL desde rutas no confiables y segmenta la red para reducir la exposición. Si sospechas de una infección, actúa con cautela: este tipo de malware está diseñado para ejecutarse en memoria y recibir órdenes por etapas, por lo que un análisis forense profesional puede ser necesario para evaluar el alcance del compromiso. En un entorno donde los ataques dirigidos son cada vez más frecuentes, la visibilidad sobre el tráfico interno y la capacidad de respuesta rápida marcan la diferencia entre un susto y un desastre.