Pesquisadores de cibersegurança divulgaram detalhes de um grupo de ameaças alinhado à China, até então não documentado, conhecido como Bronze Sandcastle. O grupo tem sido observado em ataques contra organizações na Ásia e na África desde meados de 2025.
“O marcador técnico mais característico do Bronze Sandcastle é o uso consistente do carregamento lateral de DLLs do Sandboxie”, afirmou Gabor Szappanos, pesquisador de segurança da Sophos, em uma publicação na terça-feira.
Entre agosto de 2025 e agosto de 2026, os ataques do grupo fizeram vítimas nas Filipinas, em Taiwan, no Afeganistão e na Namíbia, além de possivelmente na Coreia do Sul. As evidências indicam que o Bronze Sandcastle é mais ativo no fuso horário UTC+8.
O carregamento lateral de DLLs é uma técnica de ataque que explora a forma como o Windows carrega arquivos DLL. Com ela, um invasor pode induzir um programa legítimo a carregar uma DLL maliciosa.
Ao ser iniciado, um aplicativo precisa carregar várias DLLs para funcionar corretamente. Se não especificar o caminho completo de uma DLL necessária, o sistema operacional procura o arquivo em uma sequência predeterminada de diretórios.
O invasor pode explorar esse comportamento colocando uma DLL maliciosa, com o mesmo nome de uma DLL legítima, em um local que o Windows verifica antes da pasta que contém o arquivo original. Assim, quando o aplicativo legítimo é iniciado, ele carrega e executa a DLL maliciosa, abrindo caminho para a invasão do sistema.
“Como o código malicioso é executado por um aplicativo confiável e muitas vezes assinado digitalmente, há menos chances de que seja identificado por antivírus e outras soluções de segurança”, observou a Zscaler em uma análise publicada na semana passada.
“Se o aplicativo legítimo for executado com privilégios elevados, a DLL maliciosa herdará as mesmas permissões, permitindo que o invasor realize ações mais sensíveis no sistema.”
A técnica também permite manter o acesso ao sistema comprometido quando o aplicativo é configurado para iniciar automaticamente a cada reinicialização. Dessa forma, o código do invasor pode voltar a ser executado no dispositivo infectado.
A Sophos informou ter encontrado executáveis legítimos do Sandboxie em vários ambientes de vítimas, junto com um arquivo malicioso chamado “sbiedll.dll”. Esse arquivo leva o aplicativo confiável “SandboxieWUAU.exe” a carregar código controlado pelo invasor durante a execução.
Além do Sandboxie, o Bronze Sandcastle foi associado a outras sete combinações de carregamento lateral de DLLs:
- javaw.exe, aplicativo Java, com jli.dll
- Krita.exe, do programa de pintura digital Krita, com Krita.dll
- NvdaHelper.exe, do NVDA NonVisual Desktop Access, com NvdaHelperRemote.dll
- Jcef_helper.exe, auxiliar do Java Chromium Embedded Framework, com Libcef.dll
- Vmmap.exe, analisador de memória de processos do Sysinternals, com version.dll
- LineAppMgr.exe, aplicativo de mensagens LINE, com msvcp140.dll
- bginfo64.exe, utilitário do Sysinternals que exibe informações do sistema, com snmpapi.dll
“As DLLs carregadas lateralmente geralmente leem e executam payloads armazenados em arquivos config.ini criptografados”, informou a Sophos. “Esse método reduz a detecção estática e permite que os operadores ajustem o comportamento sem substituir os arquivos binários das DLLs. Executáveis legítimos com nomes alterados são usados com frequência para se misturar aos ambientes das vítimas. A execução resulta em atividade de shellcode na memória, em vez de gerar outros arquivos no disco.”
A DLL foi projetada para carregar e executar um payload criptografado chamado “config.ini”. Ele funciona como um backdoor capaz de enumerar a rede local e as contas de usuário, além de coletar metadados do sistema, informações sobre processos em execução, teclas digitadas e capturas de tela. Até o momento, foram identificadas duas versões do payload: 1.1.5 e 1.1.7.
O payload também foi encontrado se comunicando com sites externos, como file[.]io, gofile[.]io, ably[.]net e ably[.]io, provavelmente para receber novas instruções dos operadores. Além disso, observou-se que a versão 1.1.5 usa dc.cathaypacifice[.]com e net.dpworldto[.]com para command and control (C2).
Já os payloads da versão 1.1.7 foram observados se comunicando com repositórios do GitHub por meio da API, incluindo “github[.]com/LatonyCharnleyaW”, para baixar arquivos de configuração criptografados. A conta do GitHub não está mais acessível.
Não é a primeira vez que grupos de hackers chineses recorrem ao carregamento lateral de DLLs, nem a primeira vez que o Sandboxie é usado em ataques desse tipo. Em julho de 2024, o grupo APT41 usou outro executável assinado pelo Sandboxie, “taskhost.exe”, para carregar lateralmente uma versão maliciosa de “sbiedll.dll” e, por fim, instalar um backdoor chamado MoonWalk.
“O grupo de ameaças usa predominantemente payloads e arquivos de configuração criptografados, que são decodificados durante a execução. Por isso, detecções estáticas baseadas em arquivos podem ser ineficazes”, afirmou a Sophos. “As organizações devem priorizar indicadores comportamentais, como DLLs que leem arquivos locais e são seguidas imediatamente por execução na memória, um possível sinal de decodificação e preparação da atividade.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...