Çinlə əlaqəli Bronze Sandcastle Sandboxie DLL yan yükləməsi ilə arxa qapılar yerləşdirir

Kampaniyaya ümumi baxış

Sophos əvvəllər sənədləşdirilməmiş, Çinlə əlaqəli Bronze Sandcastle adlı təhdid qrupu haqqında məlumat açıqlayıb; qrup 2025-ci ilin ortasından bəri Asiya və Afrikadakı təşkilatlara qarşı fəaliyyət göstərir. Tədqiqatçı Qabor Szappanos qeyd edib ki, qrupun ən səciyyəvi texniki nişanəsi Sandboxie DLL yan yükləməsindən ardıcıl istifadə etməsidir.

2025-ci ilin avqustundan 2026-cı ilin avqustuna qədər qrupa aid edilən hücumlar nəticəsində Filippin, Tayvan, Əfqanıstan, Namibiya və ehtimal ki, Cənubi Koreyada qurbanlar qeydə alınıb. Sophos bildirib ki, sübutlar Bronze Sandcastle-ın ən çox UTC+8 saat qurşağında aktiv olduğunu göstərir.

DLL yan yükləmə texnikası

DLL yan yükləmə legitim proqramı zərərli DLL yükləməyə məcbur edir: tətbiq tələb olunan kitabxananın tam yolunu göstərmədikdə, Windows qovluqları müəyyən edilmiş ardıcıllıqla axtarır, buna görə hücumçu eyni adlı zərərli DLL-i ilk tapılacaq yerə yerləşdirə bilər.

Sophos bir neçə qurban mühitində legitim Sandboxie icra fayllarının zərərli sbiedll.dll ilə birlikdə yerləşdiyini müşahidə edib; bu, etibarlı SandboxieWUAU.exe faylının işləmə zamanı hücumçunun kodunu yükləməsinə səbəb olur. Qrup daha yeddi kombinasiyadan istifadə edib: javaw.exe jli.dll ilə, Krita.exe Krita.dll ilə, NvdaHelper.exe NvdaHelperRemote.dll ilə, Jcef_helper.exe libcef.dll ilə, Vmmap.exe version.dll ilə, LineAppMgr.exe msvcp140.dll ilə və bginfo64.exe snmpapi.dll ilə.

Zscaler qeyd edib ki, kod etibarlı və çox vaxt rəqəmsal imzaya malik tətbiq vasitəsilə işlədiyi üçün antivirus proqramlarının onu aşkarlama ehtimalı daha azdır. Əgər həmin tətbiq yüksəldilmiş imtiyazlarla işləyirsə, zərərli DLL həmin imtiyazları miras alır, kompromisə uğramış proqram isə hər yenidən başlatmada avtomatik işə düşdükdə davamlılıq təmin olunur.

Yük və infrastruktur

Yan yüklənmiş DLL-lər şifrələnmiş config.ini fayllarında saxlanılan yükləri oxuyur və icra edir; Sophos-un sözlərinə görə, bu dizayn statik aşkarlanmanı minimuma endirir və operatorlara binar faylları dəyişmədən davranışı dəyişməyə imkan verir. Yenidən adlandırılmış legitim icra faylları mühitə qarışır, icra nəticəsində isə diskdə əlavə artefaktlar deyil, yaddaşda shellcode fəaliyyəti baş verir.

Yük yerli şəbəkəni və istifadəçi hesablarını sadalayan, sistem metadatasını, işləyən prosesləri, klaviatura daxiletmələrini və ekran görüntülərini toplayan arxa qapıdır. İndiyədək yükün iki versiyası müəyyən edilib: 1.1.5 və 1.1.7. Yük həmçinin file[.]io, gofile[.]io, ably[.]net və ably[.]io saytları ilə əlaqə saxlayıb ki, bu da çox güman ki, operatorlardan əlavə tapşırıqlar almaq məqsədi daşıyır.

1.1.5 versiyası komanda və nəzarət üçün dc.cathaypacifice[.]com və net.dpworldto[.]com ünvanlarından istifadə edib. 1.1.7 versiyası isə API vasitəsilə GitHub repozitoriyaları ilə əlaqə saxlayaraq şifrələnmiş konfiqurasiya fayllarını yükləyib; həmin hesab artıq əlçatan deyil.

Aşkarlanma və kontekst

Sophos bildirib ki, qrup işləmə zamanı deşifrə olunan şifrələnmiş yük və konfiqurasiya fayllarına əsaslanır, buna görə statik fayl əsaslı aşkarlama üsulları səmərəsiz ola bilər. Təşkilatlar bunun əvəzinə davranış göstəricilərinə diqqət yetirməlidir; məsələn, DLL-in yerli faylları oxuyub dərhal yaddaşda icra etməsi deşifrə və hazırlıq fəaliyyətinə işarə edə bilər.

DLL yan yükləmə Çin qrupları üçün yeni deyil, Sandboxie də ilk dəfə istifadə olunmur. 2024-cü ilin iyulunda APT41 Sandboxie tərəfindən imzalanmış başqa bir icra faylından, taskhost.exe-dən istifadə edərək zərərli sbiedll.dll-i yan yükləyib və MoonWalk adlı arxa qapını yerləşdirib.

Mənbələr: The Hacker News