Bronze Sandcastle transformă aplicații Windows de încredere în lansatoare de backdoor-uri

Un grup de spionaj cibernetic aliniat cu China, urmărit sub numele Bronze Sandcastle, compromite discret organizații din Asia și Africa, abuzând de ceva în care apărătorii au de obicei încredere: software legitim și semnat digital. Trucul principal este DLL sideloading printr-un executabil Sandboxie redenumit. Alte șapte aplicații cunoscute sunt folosite în același scop.

Ce s-a întâmplat

Cercetătorii Sophos X-Ops spun că grupul este activ de la jumătatea lui 2025. Între august 2025 și august 2026 au legat atacurile de victime din Filipine, Taiwan, Afganistan și Namibia, și probabil Coreea de Sud. Activitatea se concentrează în fusul orar UTC+8. Cercetătorii descriu grupul ca aliniat cu China, o evaluare regională și operațională. Nu este numită o unitate statală anume.

Lanțul de atac urmează un tipar cunoscut, dar bine pus în practică:

O componentă Sandboxie autentică (SandboxieWUAU.exe) este plasată pe sistem alături de un fișier malițios sbiedll.dll.
La pornirea programului de încredere, ordinea de căutare a DLL-urilor din Windows face ca acesta să încarce DLL-ul atacatorului în locul celui real.
DLL-ul citește un fișier config.ini criptat, îl decriptează în memorie și rulează backdoor-ul ca shellcode. Payload-ul nu ajunge niciodată necriptat pe disc.

Sandboxie nu este singura momeală. Aceeași metodă a fost observată cu alte șapte perechi executabil/DLL:

javaw.exe → jli.dll (Java)
Krita.exe → Krita.dll (Krita)
NvdaHelper.exe → NvdaHelperRemote.dll (cititorul de ecran NVDA)
Jcef_helper.exe → Libcef.dll (Java Chromium Embedded Framework)
Vmmap.exe → version.dll (Sysinternals VMMap)
LineAppMgr.exe → msvcp140.dll (aplicația de mesagerie LINE)
bginfo64.exe → snmpapi.dll (Sysinternals BgInfo)

Backdoor-ul (versiunile 1.1.5 și 1.1.7 identificate până acum) cartografiază rețeaua locală și conturile de utilizator și colectează informații despre sistem, procese active, apăsări de taste și capturi de ecran. Pentru comenzi și transfer de fișiere a folosit servicii de partajare și mesagerie (file.io, gofile.io, ably.net, ably.io). Versiunea 1.1.5 a folosit domenii C2 care imită branduri cunoscute din aviație și logistică. Versiunea 1.1.7 descărca configurații criptate dintr-un depozit GitHub prin API. Contul respectiv a fost între timp eliminat.

De ce contează

DLL sideloading funcționează pentru că procesul care rulează codul malițios este de încredere și adesea semnat digital. Listele de aplicații permise, verificările de reputație și multe antivirusuri îl lasă să treacă. Dacă programul gazdă rulează cu drepturi ridicate, implantul le moștenește. Dacă pornește odată cu sistemul, atacatorul obține persistență fără o intrare de autorun separată.

Bronze Sandcastle adaugă două straturi care îngreunează munca echipelor de apărare:

Payload-uri și configurații criptate, decodate doar la rulare, care ocolesc semnăturile statice.
Comportament controlat prin configurație: operatorii pot schimba ce face implantul fără să înlocuiască DLL-ul, așa că indicatorii bazați pe hash-uri se învechesc rapid.

Nici abuzul de Sandboxie nu este nou. Un alt actor legat de China a folosit în 2024 un binar semnat Sandboxie pentru sideloading. Tratați scenariul „utilitar semnat rulat dintr-o locație ciudată” ca pe un tipar recurent, nu ca pe un caz izolat.

Ce trebuie făcut

Căutați comportamente, nu hash-uri. Alertați când un DLL citește un fișier local și imediat după aceea alocă și execută memorie. O astfel de activitate de decodare și pregătire este un semnal mult mai puternic decât orice hash.
Urmăriți de unde rulează binarele de încredere. Executabile Sandboxie, Java, Krita, NVDA, LINE, VMMap sau BgInfo rulate din ProgramData, AppData, foldere temporare sau alte căi în care utilizatorul poate scrie merită verificate, mai ales dacă software-ul nu este folosit oficial în organizație.
Verificați căile de încărcare a DLL-urilor. Folosiți EDR sau Sysmon (Event ID 7) pentru a semnala procese semnate care încarcă sbiedll.dll, jli.dll, version.dll, msvcp140.dll, snmpapi.dll și altele similare din afara directoarelor de instalare.
Întăriți controlul aplicațiilor. Regulile WDAC sau AppLocker care blochează execuția din locații editabile de utilizator opresc majoritatea scenariilor de sideloading.
Analizați traficul de ieșire. Traficul neașteptat către servicii de partajare de fișiere, API-uri de mesagerie în timp real sau apelurile directe la API-ul GitHub de pe stații care nu aparțin dezvoltatorilor merită investigate.
Validați detecția, nu o presupuneți. Abuzul de binare semnate este genul de lacună care iese la iveală doar când cineva chiar încearcă. Echipa de penetration testing 4Tify poate emula în siguranță tehnici precum DLL sideloading, într-un exercițiu controlat, ca să confirmați dacă EDR-ul și SOC-ul vostru le-ar detecta, înainte ca un atacator real să facă testul în locul vostru.

Cercetarea originală: Sophos X-Ops. Relatat de The Hacker News. Acest articol este rezumatul și analiza 4Tify.