קבוצת Bronze Sandcastle המקושרת לסין משתמשת בטעינת DLL צדדית של Sandboxie לפריסת דלתות אחוריות

סקירת הקמפיין

סופוס חשפה אשכול איומים המקושר לסין, שלא תועד בעבר, המכונה Bronze Sandcastle, הפעיל נגד ארגונים באסיה ובאפריקה מאז אמצע 2025. החוקר גאבור סזפנוס אמר כי הסימן המובהק ביותר שלו הוא שימוש עקבי בטעינת DLL צדדית של Sandboxie.

בין אוגוסט 2025 לאוגוסט 2026, מתקפות שיוחסו לאשכול גרמו לקורבנות בפיליפינים, טייוואן, אפגניסטן, נמיביה, וככל הנראה דרום קוריאה. סופוס מסרה כי ראיות מצביעות על כך ש-Bronze Sandcastle פעילה ביותר באזור הזמן UTC+8.

טכניקת טעינת DLL צדדית

טעינת DLL צדדית מטעה תוכנית לגיטימית לטעון DLL זדוני: כאשר יישום אינו מספק את הנתיב המלא לספרייה נדרשת, Windows מחפש רצף קבוע של ספריות, כך שתוקף יכול לשתול DLL זדוני בעל אותו שם במקום שבו הוא יימצא ראשון.

סופוס הבחינה בקבצי הפעלה לגיטימיים של Sandboxie בכמה סביבות קורבן לצד sbiedll.dll זדוני, הגורם ל-SandboxieWUAU.exe המהימן לטעון קוד תוקף בזמן ריצה. הקבוצה השתמשה בשבע צירופים נוספים: javaw.exe עם jli.dll, Krita.exe עם Krita.dll, NvdaHelper.exe עם NvdaHelperRemote.dll, Jcef_helper.exe עם libcef.dll, Vmmap.exe עם version.dll, LineAppMgr.exe עם msvcp140.dll, ו-bginfo64.exe עם snmpapi.dll.

Zscaler ציינה כי מכיוון שהקוד רץ דרך יישום מהימן, לעתים חתום דיגיטלית, אנטי-וירוס פחות צפוי לסמן אותו. אם אותו יישום רץ עם הרשאות מוגברות, ה-DLL הזדוני יורש אותן, והתמדה מושגת כאשר התוכנית שנפגעה מופעלת בעת אתחול.

מטען ותשתית

ה-DLLs שנטענו בצד קוראים ומבצעים מטענים המאוחסנים בקבצי config.ini מוצפנים, עיצוב שלדברי סופוס ממזער זיהוי סטטי ומאפשר למפעילים לשנות התנהגות מבלי להחליף קבצים בינאריים. קבצי הפעלה לגיטימיים ששמם שונה משתלבים, וההפעלה מובילה לקוד מעטפת בזיכרון במקום לממצאים בדיסק.

המטען הוא דלת אחורית המונה חשבונות רשת ומשתמשים מקומיים ואוספת מטא-נתונים של המערכת, תהליכים רצים, הקשות מקלדת וצילומי מסך. קיימות שתי גרסאות, 1.1.5 ו-1.1.7. היא יצרה קשר עם file[.]io, gofile[.]io, ably[.]net ו-ably[.]io, ככל הנראה כדי לקבל משימות נוספות.

גרסה 1.1.5 השתמשה ב-dc.cathaypacifice[.]com ו-net.dpworldto[.]com לפיקוד ושליטה. גרסה 1.1.7 תקשרה עם מאגרי GitHub דרך ה-API כדי לאחזר קבצי הגדרה מוצפנים; חשבון זה אינו נגיש עוד.

זיהוי והקשר

סופוס מסרה כי הקבוצה מסתמכת על מטען וקבצי תצורה מוצפנים המפוענחים בזמן ריצה, ולכן זיהוי קבצים סטטי עשוי להיות לא יעיל. היא ממליצה לעקוב אחר אינדיקטורים התנהגותיים כגון DLL הקורא קבצים מקומיים ואז מבצע בזיכרון, דבר שעשוי להצביע על פענוח והכנת המטען.

טעינת DLL צדדית אינה חדשה עבור קבוצות סיניות, וכך גם Sandboxie. ביולי 2024 APT41 השתמשה בקובץ הפעלה חתום נוסף של Sandboxie, taskhost.exe, כדי לטעון בצד sbiedll.dll זדוני ולפרוס דלת אחורית בשם MoonWalk.

מקורות: The Hacker News