Չինաստանամետ Bronze Sandcastle-ը Sandboxie-ի DLL-ի կողային բեռնմամբ հետին դռներ է տեղադրում

Կամպանիայի ակնարկ

Sophos-ը հրապարակել է նախկինում չփաստաթղթավորված չինաստանամետ սպառնալիքների խմբավորման մանրամասները, որը հայտնի է որպես Bronze Sandcastle և 2025 թվականի կեսից հարձակվում է Ասիայի ու Աֆրիկայի կազմակերպությունների վրա։ Հետազոտող Gabor Szappanos-ի խոսքով՝ խմբի ամենաբնորոշ նշանը Sandboxie-ի DLL-ի կողային բեռնման հետևողական կիրառումն է։

2025 թվականի օգոստոսից մինչև 2026 թվականի օգոստոսը խմբավորմանը վերագրվող հարձակումների հետևանքով տուժել են Ֆիլիպինները, Թայվանը, Աֆղանստանը, Նամիբիան և, հավանաբար, Հարավային Կորեան։ Sophos-ի խոսքով՝ ապացույցները վկայում են, որ Bronze Sandcastle-ն առավել ակտիվ է UTC+8 ժամային գոտում։

DLL-ի կողային բեռնման տեխնիկան

DLL-ի կողային բեռնումը ստիպում է լեգիտիմ ծրագրին բեռնել վնասակար DLL: երբ հավելվածը չի նշում անհրաժեշտ գրադարանի ամբողջական ուղին, Windows-ը դիրեկտորիաները փնտրում է ֆիքսված հաջորդականությամբ, ուստի հարձակվողը կարող է նույնանուն վնասակար DLL տեղադրել այնտեղ, որտեղ այն առաջինը կգտնվի։

Sophos-ը զոհերի մի քանի միջավայրերում նկատել է Sandboxie-ի լեգիտիմ կատարվող ֆայլեր՝ վնասակար sbiedll.dll-ի կողքին, ինչի հետևանքով վստահելի SandboxieWUAU.exe-ն աշխատանքի ընթացքում բեռնում է հարձակվողի կոդը։ Խումբն օգտագործել է ևս յոթ զույգ՝ javaw.exe-ն jli.dll-ի հետ, Krita.exe-ն Krita.dll-ի հետ, NvdaHelper.exe-ն NvdaHelperRemote.dll-ի հետ, Jcef_helper.exe-ն libcef.dll-ի հետ, Vmmap.exe-ն version.dll-ի հետ, LineAppMgr.exe-ն msvcp140.dll-ի հետ և bginfo64.exe-ն snmpapi.dll-ի հետ։

Zscaler-ը նշել է, որ քանի որ կոդը գործարկվում է վստահելի և հաճախ թվային ստորագրություն ունեցող ծրագրի միջոցով, հակավիրուսային լուծումները դա հայտնաբերելու ավելի փոքր հավանականություն ունեն։ Եթե այդ ծրագիրը աշխատում է բարձրացված լիազորություններով, վնասակար DLL-ը ժառանգում է դրանք, իսկ կայունությունն ապահովվում է, երբ վարակված ծրագիրը ավտոմատ գործարկվում է յուրաքանչյուր վերաբեռնման ժամանակ։

Օգտակար բեռը և ենթակառուցվածքը

Կողային բեռնված DLL-երը կարդում և գործարկում են գաղտնագրված config.ini ֆայլերում պահված օգտակար բեռերը: Sophos-ի խոսքով՝ այս լուծումը նվազագույնի է հասցնում ստատիկ հայտնաբերումը և թույլ է տալիս օպերատորներին փոխել վարքը՝ առանց բինար ֆայլերը փոխարինելու։ Վերանվանված լեգիտիմ կատարվող ֆայլերը խառնվում են շրջապատին, իսկ գործարկումը հանգեցնում է հիշողության մեջ աշխատող shellcode-ի, այլ ոչ թե սկավառակի արտեֆակտների։

Օգտակար բեռը հետին դուռ է, որը թվարկում է տեղական ցանցը և օգտատերերի հաշիվները, ինչպես նաև հավաքում է համակարգի մետատվյալներ, ընթացող գործընթացներ, ստեղնաշարի մուտքագրում և էկրանի պատկերներ։ Առայժմ հայտնի է բեռի երկու տարբերակ՝ 1.1.5 և 1.1.7։ Այն կապվել է նաև file[.]io, gofile[.]io, ably[.]net և ably[.]io հասցեների հետ՝ հավանաբար օպերատորներից լրացուցիչ հանձնարարություններ ստանալու համար։

1.1.5 տարբերակը ղեկավարման համար օգտագործել է dc.cathaypacifice[.]com և net.dpworldto[.]com հասցեները։ 1.1.7 տարբերակը API-ի միջոցով կապվել է GitHub-ի պահոցների հետ՝ գաղտնագրված կոնֆիգուրացիայի ֆայլեր ներբեռնելու համար: այդ հաշիվն այլևս հասանելի չէ։

Հայտնաբերում և համատեքստ

Sophos-ը նշել է, որ խումբը հենվում է գաղտնագրված օգտակար բեռերի և կոնֆիգուրացիայի ֆայլերի վրա, որոնք վերծանվում են աշխատանքի ընթացքում, ուստի ստատիկ ֆայլային հայտնաբերումը կարող է արդյունավետ չլինել։ Կազմակերպությունները պետք է կենտրոնանան վարքային ցուցիչների վրա, օրինակ՝ երբ DLL-ը կարդում է տեղական ֆայլեր և անմիջապես գործարկվում հիշողության մեջ, ինչը կարող է վկայել վերծանման և նախապատրաստման գործողությունների մասին։

DLL-ի կողային բեռնումը նորություն չէ չինական խմբերի համար, ինչպես և Sandboxie-ն։ 2024 թվականի հուլիսին APT41-ը օգտագործել է Sandboxie-ի կողմից ստորագրված մեկ այլ կատարվող ֆայլ՝ taskhost.exe, որպեսզի կողային բեռնի վնասակար sbiedll.dll և տեղադրի MoonWalk հետին դուռը։

Աղբյուրները: The Hacker News