Çin yanlısı Bronze Sandcastle, Sandboxie DLL Yan Yüklemesi Kullanarak Arka Kapıları Dağıtıyor

Kampanya Genel Bakış

Sophos, daha önce belgelenmemiş, Bronze Sandcastle olarak takip edilen Çin yanlısı bir tehdit kümesini açıkladı; bu küme 2025 ortasından beri Asya ve Afrika'daki organizasyonlara karşı faaldir. Araştırmacı Gabor Szappanos, kümenin en belirgin işaretinin Sandboxie DLL yan yüklemesinin sürekli kullanımı olduğunu belirtti.

Ağustos 2025 ile Ağustos 2026 arasında kümeye atfedilen saldırılar, Filipinler, Tayvan, Afganistan, Namibya ve muhtemelen Güney Kore'de kurbanlara yol açtı. Sophos, kanıtların Bronze Sandcastle'ın UTC+8 saat diliminde en aktif olduğunu gösterdiğini söyledi.

DLL Yan Yükleme Tekniği

DLL yan yüklemesi, meşru bir programı kötü amaçlı bir DLL yüklemeye kandırır: bir uygulama gerekli bir kitaplığın tam yolunu belirtmediğinde, Windows sabit bir dizin sırasını arar, bu nedenle saldırgan aynı adlı kötü amaçlı DLL'yi önce bulunan yere yerleştirebilir.

Sophos, birkaç kurban ortamında meşru Sandboxie çalıştırılabilir dosyalarının yanında kötü amaçlı bir sbiedll.dll dosyası olduğunu gözlemledi; bu durum güvenilen SandboxieWUAU.exe'nin çalışma zamanında saldırgan kodunu yüklemesine neden olur. Grup yedi başka kombinasyon kullandı: javaw.exe ile jli.dll, Krita.exe ile Krita.dll, NvdaHelper.exe ile NvdaHelperRemote.dll, Jcef_helper.exe ile libcef.dll, Vmmap.exe ile version.dll, LineAppMgr.exe ile msvcp140.dll ve bginfo64.exe ile snmpapi.dll.

Zscaler, kodun güvenilir, genellikle dijital olarak imzalanmış bir uygulama üzerinden çalıştığı için antivirüslerin bunu işaretlemesi daha az olası olduğunu belirtti. Eğer bu uygulama yükseltilmiş ayrıcalıklarla çalışırsa, kötü amaçlı DLL bunları miras alır ve tehlikeye atılan program önyükleme sırasında başladığında kalıcılık sağlanır.

Yük ve Altyapı

Yan yüklenen DLL'ler, şifreli config.ini dosyalarında saklanan yükleri okur ve çalıştırır; Sophos bu tasarımın statik tespiti en aza indirdiğini ve operatörlerin ikili dosyaları değiştirmeden davranışı değiştirmesine olanak tanıdığını söyledi. Yeniden adlandırılmış meşru çalıştırılabilir dosyalar gizlenir ve çalışma, disk kalıntıları yerine bellek içi shellcode'a yol açar.

Yük, yerel ağ ve kullanıcı hesaplarını numaralandıran ve sistem meta verilerini, çalışan süreçleri, tuş vuruşlarını ve ekran görüntülerini toplayan bir arka kapıdır. İki sürüm mevcuttur: 1.1.5 ve 1.1.7. file[.]io, gofile[.]io, ably[.]net ve ably[.]io ile iletişime geçmiş, muhtemelen daha fazla görev almak için.

Sürüm 1.1.5, komut ve kontrol için dc.cathaypacifice[.]com ve net.dpworldto[.]com adreslerini kullandı. Sürüm 1.1.7, API aracılığıyla GitHub depolarıyla iletişim kurarak şifreli yapılandırma dosyalarını çekti; bu hesap artık erişilebilir değil.

Tespit ve Bağlam

Sophos, grubun çalışma zamanında çözümlenen şifreli yük ve yapılandırma dosyalarına güvendiğini, bu nedenle statik dosya tespitlerinin etkisiz olabileceğini belirtti. Bir DLL'nin yerel dosyaları okuyup ardından bellekte çalıştırması gibi davranışsal göstergeleri izlemeyi öneriyor; bu durum çözme ve hazırlama aşamasını gösterebilir.

DLL yan yüklemesi Çin grupları için yeni değil, Sandboxie de değil. Temmuz 2024'te APT41, taskhost.exe adlı başka bir Sandboxie imzalı çalıştırılabilir dosyayı kullanarak kötü amaçlı bir sbiedll.dll yan yükledi ve MoonWalk adlı bir arka kapı dağıttı.

Kaynaklar: The Hacker News