ჩინეთთან დაკავშირებული Bronze Sandcastle Sandboxie-ს DLL-ის გვერდით ჩატვირთვით ბექდორებს ავრცელებს

კამპანიის მიმოხილვა

Sophos-მა გაასაჯაროვა ჩინეთთან დაკავშირებული, მანამდე აღუწერელი საფრთხის კლასტერი Bronze Sandcastle, რომელიც 2025 წლის შუიდან აზიასა და აფრიკაში ორგანიზაციებს ესხმის თავს. მკვლევარ Gabor Szappanos-ის თქმით, მისი მთავარი ნიშანი Sandboxie-ს DLL-ის გვერდით ჩატვირთვის თანმიმდევრული გამოყენებაა.

2025 წლის აგვისტოდან 2026 წლის აგვისტომდე ამ კლასტერზე მიკუთვნებული თავდასხმების შედეგად მსხვერპლი გაჩნდა ფილიპინებში, ტაივანში, ავღანეთში, ნამიბიაში და, სავარაუდოდ, სამხრეთ კორეაში. Sophos-ის თქმით, მტკიცებულებები მიუთითებს, რომ ის ყველაზე აქტიურია UTC+8 დროის სარტყელში.

DLL-ის გვერდით ჩატვირთვის ტექნიკა

DLL-ის გვერდით ჩატვირთვა ლეგიტიმურ პროგრამას ბოროტული DLL-ის ჩატვირთვას აიძულებს: თუ აპლიკაცია ბიბლიოთეკის სრულ გზას არ მიუთითებს, Windows დირექტორიებს ფიქსირებული თანმიმდევრობით ამოწმებს, ამიტომ თავდამსხმელი იმავე სახელის ბოროტულ DLL-ს იქ დებს, სადაც ის პირველად მოიძებნება.

Sophos-მა მსხვერპლთა გარემოში Sandboxie-ს ლეგიტიმური ფაილები ბოროტულ sbiedll.dll-თან ერთად დაინახა, რის გამოც SandboxieWUAU.exe მუშაობისას თავდამსხმელის კოდს ტვირთავს. ჯგუფმა გამოიყენა კიდევ შვიდი კომბინაცია: javaw.exe jli.dll-თან, Krita.exe Krita.dll-თან, NvdaHelper.exe NvdaHelperRemote.dll-თან, Jcef_helper.exe libcef.dll-თან, Vmmap.exe version.dll-თან, LineAppMgr.exe msvcp140.dll-თან და bginfo64.exe snmpapi.dll-თან.

Zscaler-მა აღნიშნა, რომ კოდი სანდო, ხშირად ციფრულად ხელმოწერილი აპლიკაციით მუშაობს, ამიტომ ანტივირუსი ნაკლებად სავარაუდოდ აღმოაჩენს. გაზრდილი უფლებებით გაშვებისას ბოროტული DLL ამ უფლებებს მემკვიდრეობით იღებს, ხოლო კომპრომეტირებული პროგრამა, თუ ის ყოველ გადატვირთვაზე ავტომატურად ირთვება, სისტემაში დარჩენას უზრუნველყოფს.

დატვირთვა და ინფრასტრუქტურა

გვერდით ჩატვირთული DLL-ები კითხულობენ და ასრულებენ დაშიფრულ config.ini ფაილებში შენახულ დატვირთვებს; Sophos-ის თქმით, ეს ამცირებს სტატიკური გამოვლენის ალბათობას და ოპერატორებს ბინარების შეცვლის გარეშე ქცევის შეცვლის საშუალებას აძლევს. გადარქმეული ლეგიტიმური პროგრამები გარემოს ერწყმიან, ხოლო კოდი დისკზე კვალის ნაცვლად მეხსიერებაში სრულდება.

დატვირთვა ბექდორია, რომელიც ჩამოთვლის ლოკალურ ქსელსა და მომხმარებლის ანგარიშებს და აგროვებს სისტემის მეტამონაცემებს, გაშვებულ პროცესებს, კლავიატურის შეყვანასა და ეკრანის სურათებს. არსებობს ორი ვერსია, 1.1.5 და 1.1.7. ის დაუკავშირდა file[.]io-ს, gofile[.]io-ს, ably[.]net-სა და ably[.]io-ს, სავარაუდოდ, შემდგომი დავალებების მისაღებად.

ვერსია 1.1.5 C2-ისთვის იყენებდა dc.cathaypacifice[.]com-სა და net.dpworldto[.]com-ს. ვერსია 1.1.7 API-ით GitHub-ის რეპოზიტორიებს დაუკავშირდა დაშიფრული კონფიგურაციის ფაილების მისაღებად; ეს ანგარიში აღარ არის ხელმისაწვდომი.

გამოვლენა და კონტექსტი

Sophos-ის თქმით, ჯგუფი ეყრდნობა დაშიფრულ დატვირთვასა და კონფიგურაციის ფაილებს, რომლებიც მუშაობის დროს გაშიფრდება, ამიტომ სტატიკური გამოვლენა შეიძლება არაეფექტური იყოს. ის ურჩევს ქცევითი ინდიკატორების მონიტორინგს, მაგალითად, როცა DLL ლოკალურ ფაილებს კითხულობს და შემდეგ მეხსიერებაში სრულდება, რაც შეიძლება გაშიფრვასა და მოსამზადებელ ეტაპზე მიუთითებდეს.

DLL-ის გვერდით ჩატვირთვა ჩინური ჯგუფებისთვის ახალი არ არის, არც Sandboxie. 2024 წლის ივლისში APT41-მა Sandboxie-ს მიერ ხელმოწერილი taskhost.exe გამოიყენა ბოროტული sbiedll.dll-ის გვერდით ჩასატვირთად და MoonWalk-ის ბექდორის გასავრცელებლად.

წყაროები: The Hacker News