SLEEPWALKERはなぜ通信から見つけにくいのですか？

A. 自らC2通信を行わず、外部からの合図を待つためです。

SLEEPWALKERは、外部の固定されたC2サーバーへ自動接続せず、接続先のIPアドレスやドメイン情報も内部に持ちません。正規のセキュリティ製品のプロセスに潜伏し、特定の暗号化されたネットワークパケットが届くまで無応答で待機します。

また、攻撃者から送られる指示は独自の命令形式で暗号化されており、その仕組みを解析しなければ実行内容を読み解けません。

TCPやUDP、DNSなど複数の通信方法にも対応しており、メモリ上でのプログラム実行などが可能です。

こうした特徴から、従来のファイアウォールやIDS/IPS、IP・ドメインをもとにした静的な検知では捉えることがかなり難しいです。

SLEEPWALKER：C2通信を行わない高潜伏型バックドア https://constella-sec.jp/blog/hobokomo-securitynews/tips-1270/