مجموعة برونز ساندكاسل المتحالفة مع الصين تستخدم تحميل DLL الجانبي لـ Sandboxie لنشر أبواب خلفية

نظرة عامة على الحملة

أفصحت شركة Sophos عن مجموعة تهديد غير موثقة سابقاً متحالفة مع الصين تسمى برونز ساندكاسل، نشطة ضد منظمات في آسيا وأفريقيا منذ منتصف 2025. قال الباحث غابور زابانوس إن العلامة المميزة لها هي الاستخدام المستمر لتحميل DLL الجانبي لبرنامج Sandboxie.

بين أغسطس 2025 وأغسطس 2026، أسفرت الهجمات المنسوبة للمجموعة عن ضحايا في الفلبين وتايوان وأفغانستان وناميبيا، وعلى الأرجح كوريا الجنوبية. قالت Sophos إن الأدلة تشير إلى أن برونز ساندكاسل أكثر نشاطاً في المنطقة الزمنية UTC+8.

تقنية تحميل DLL الجانبي

يخدع تحميل DLL الجانبي برنامجاً شرعياً لتحميل مكتبة DLL ضارة: عندما لا يحدد التطبيق المسار الكامل لمكتبة مطلوبة، يبحث Windows في تسلسل ثابت من المجلدات، مما يتيح للمهاجم زرع DLL ضارة تحمل الاسم نفسه حيث تُعثر أولاً.

لاحظت Sophos ملفات تنفيذية شرعية لـ Sandboxie في بيئات ضحايا متعددة بجانب ملف sbiedll.dll ضار، مما يجعل ملف SandboxieWUAU.exe الموثوق يحمّل كود المهاجم أثناء التشغيل. استخدمت المجموعة سبع مجموعات أخرى: javaw.exe مع jli.dll، وKrita.exe مع Krita.dll، وNvdaHelper.exe مع NvdaHelperRemote.dll، وJcef_helper.exe مع libcef.dll، وVmmap.exe مع version.dll، وLineAppMgr.exe مع msvcp140.dll، وbginfo64.exe مع snmpapi.dll.

أشارت Zscaler إلى أنه نظراً لأن الكود يعمل عبر تطبيق موثوق، غالباً ما يكون موقعاً رقمياً، فإن برامج مكافحة الفيروسات أقل احتمالاً لكشفه. إذا كان هذا التطبيق يعمل بامتيازات مرتفعة، ترث DLL الضارة تلك الامتيازات، وتتحقق الاستمرارية عند تشغيل البرنامج المخترق عند الإقلاع.

الحمل والبنية التحتية

تقرأ ملفات DLL المحمّلة جانبياً وتنفّذ أحمالاً مخزنة في ملفات config.ini مشفرة، وهو تصميم تقول Sophos إنه يقلل من الكشف الساكن ويسمح للمشغلين بتغيير السلوك دون استبدال الملفات الثنائية. تمتزج الملفات التنفيذية الشرعية المعاد تسميتها، ويؤدي التنفيذ إلى شيفرة صدفية في الذاكرة بدلاً من مخلفات على القرص.

الحمل هو باب خلفي يعدد حسابات الشبكة المحلية والمستخدمين ويجمع بيانات تعريف النظام، والعمليات الجارية، وضربات المفاتيح، ولقطات الشاشة. توجد نسختان، 1.1.5 و1.1.7. لقد تواصل مع file[.]io، وgofile[.]io، وably[.]net، وably[.]io، على الأرجح لتلقي مهام إضافية.

استخدمت النسخة 1.1.5 نطاقي dc.cathaypacifice[.]com وnet.dpworldto[.]com للقيادة والتحكم. تواصلت النسخة 1.1.7 مع مستودعات GitHub عبر واجهة برمجة التطبيقات لجلب ملفات تكوين مشفرة؛ هذا الحساب لم يعد قابلاً للوصول.

الكشف والسياق

قالت Sophos إن المجموعة تعتمد على ملفات حمل وتكوين مشفرة يتم فك تشفيرها أثناء التشغيل، لذا قد يكون كشف الملفات الساكن غير فعال. توصي بمراقبة مؤشرات سلوكية مثل قراءة DLL لملفات محلية ثم تنفيذها في الذاكرة، مما قد يشير إلى فك التشفير والتجهيز.

تحميل DLL الجانبي ليس جديداً على المجموعات الصينية، ولا برنامج Sandboxie. في يوليو 2024، استخدمت مجموعة APT41 ملفاً تنفيذياً آخر موقعاً من Sandboxie وهو taskhost.exe، لتحميل sbiedll.dll ضار ونشر باب خلفي يسمى MoonWalk.

المصادر: The Hacker News