Investigadores de ciberseguridad han dado a conocer un clúster de amenazas previamente no documentado y alineado con China, denominado Bronze Sandcastle, que ha estado dirigido a organizaciones en Asia y África desde mediados de 2025.
Según el investigador de seguridad de Sophos Gabor Szappanos, el indicador técnico más característico de Bronze Sandcastle es el uso consistente de DLL sideloading de Sandboxie. Entre agosto de 2025 y agosto de 2026, los ataques del actor han afectado a víctimas en Filipinas, Taiwán, Afganistán, Namibia y probablemente Corea del Sur. La evidencia sugiere que Bronze Sandcastle es más activo en la zona horaria UTC+8.
¿Qué es el DLL sideloading?
El DLL sideloading es una técnica adversarial popular que explota la forma en que Windows carga los archivos DLL, permitiendo a un atacante engañar a un programa legítimo para que cargue una DLL maliciosa. Cuando se inicia una aplicación, necesita cargar varias DLL para funcionar correctamente. Si la aplicación no proporciona la ruta completa a una DLL requerida, el sistema operativo la busca en una secuencia predeterminada de directorios. Un atacante puede aprovechar este comportamiento colocando una DLL maliciosa con el mismo nombre que una legítima en una ubicación que Windows busca antes que la carpeta que contiene la DLL real. Así, cuando la aplicación legítima se inicia, carga y ejecuta la DLL maliciosa, dando al atacante una vía de entrada al sistema.
Debido a que el código malicioso es ejecutado por una aplicación de confianza y a menudo firmada digitalmente, es menos probable que sea detectado por software antivirus y otras soluciones de seguridad. Si la aplicación legítima se ejecuta con privilegios elevados, la DLL maliciosa heredará esos mismos permisos, permitiendo al atacante realizar acciones más sensibles en el sistema.
Además, la técnica permite la persistencia si la aplicación comprometida está configurada para ejecutarse automáticamente cada vez que se reinicia el sistema, lo que permite que el código del atacante se ejecute en el host infectado.
Combinaciones de DLL sideloading observadas
Sophos informó que observó ejecutables legítimos de Sandboxie colocados en múltiples entornos de víctimas, junto con un archivo malicioso 'sbiedll.dll', que a su vez hace que la aplicación de confianza ('SandboxieWUAU.exe') cargue código controlado por el atacante durante la ejecución. Además de Sandboxie, Bronze Sandcastle ha utilizado otras siete combinaciones de DLL sideloading:
- javaw.exe (aplicación Java) – jli.dll
- Krita.exe (pintura digital Krita) – Krita.dll
- NvdaHelper.exe (NVDA NonVisual Desktop Access) – NvdaHelperRemote.dll
- Jcef_helper.exe (Java Chromium Embedded Framework Helper) – Libcef.dll
- Vmmap.exe (analizador de memoria de procesos de Sysinternals) – version.dll
- LineAppMgr.exe (aplicación de mensajería LINE) – msvcp140.dll
- bginfo64.exe (utilidad de Sysinternals que muestra información del sistema) – snmpapi.dll
Las DLL cargadas lateralmente suelen leer y ejecutar cargas útiles almacenadas en archivos config.ini cifrados. Este diseño minimiza la detección estática y permite a los operadores ajustar el comportamiento sin reemplazar los binarios DLL. Con frecuencia se utilizan ejecutables legítimos renombrados para mezclarse con el entorno de las víctimas, y la ejecución resulta en actividad de shellcode en memoria en lugar de artefactos adicionales en disco.
La DLL está diseñada para cargar y ejecutar una carga útil cifrada ('config.ini'), que funciona como un backdoor destinado a enumerar la red local y las cuentas de usuario, así como a recopilar metadatos del sistema, procesos en ejecución, pulsaciones de teclas y capturas de pantalla. Hasta la fecha se han identificado dos versiones diferentes de la carga útil: 1.1.5 y 1.1.7.
También se ha descubierto que la carga útil se comunica con sitios externos (por ejemplo, file[.]io, gofile[.]io, ably[.]net y ably[.]io), probablemente en un intento de recibir tareas adicionales de sus operadores. Además, se ha observado que la versión 1.1.5 utiliza dc.cathaypacifice[.]com y net.dpworldto[.]com para comandos y control (C2). Las cargas útiles de la versión 1.1.7, por otro lado, se han observado comunicándose con repositorios de GitHub ('github[.]com/LatonyCharnleyaW') a través de la API para descargar archivos de configuración cifrados. La cuenta de GitHub ya no está accesible.
Esta no es la primera vez que grupos de hacking chinos utilizan DLL sideloading, ni la primera vez que Sandboxie se emplea en este tipo de ataques. En julio de 2024, el actor de amenazas APT41 aprovechó un ejecutable diferente firmado por Sandboxie ('taskhost.exe') para cargar lateralmente una versión maliciosa de 'sbiedll.dll' y desplegar un backdoor llamado MoonWalk.
El grupo de amenazas utiliza predominantemente cargas útiles y archivos de configuración cifrados que se decodifican en tiempo de ejecución, lo que significa que las detecciones estáticas basadas en archivos pueden ser ineficaces. Las organizaciones deberían centrarse en indicadores de comportamiento, como DLL que leen archivos locales seguidos de una ejecución inmediata en memoria, lo que puede indicar actividad de decodificación y preparación.
Deja una respuesta