Un programa malicioso de «Sandcastle» vinculado a China se aprovecha de la instalación paralela de DLL de Sandboxie para implantar puertas traseras
Investigadores de ciberseguridad han revelado información sobre un grupo de amenazas vinculado a China, identificado como Bronze Sandcastle, que ha venido atacando a entidades en regiones de Asia y África. Su marca técnica más representativa es el uso sistemático de una técnica de manipulación de archivos DLL relacionada con Sandboxie. Estas acciones maliciosas han afectado a países específicos ubicados principalmente en zonas horarias particulares.
El método empleado consiste en aprovechar la manera en que el sistema operativo Windows carga archivos DLL, logrando engañar a un programa legítimo para que ejecute una biblioteca maliciosa. Dado que este código es corrido por aplicaciones confiables o firmadas digitalmente, disminuye la probabilidad de ser detectado por los antivirus y permite heredar privilegios elevados o mantener el acceso persistente si la aplicación se inicia automáticamente con el equipo. En el caso de este grupo, se ha detectado el uso de ejecutables legítimos de Sandboxie junto con un archivo específico para cargar código controlado por los atacantes, además de otras combinaciones con diferentes programas y aplicaciones.
Los archivos DLL utilizados leen y ejecutan cargas cifradas contenidas en configuraciones específicas, lo que reduce la detección estática y evita dejar rastros adicionales en el disco. Estas cargas actúan como puertas trasera para recopilar metadatos del sistema, enumerar cuentas y redes locales, registrar pulsaciones de teclas y capturar pantallas, existiendo múltiples versiones identificadas. Asimismo, se ha observado que se comunican con diversos sitios externos, servicios de alojamiento y repositorios para recibir instrucciones u obtener más información cifrada.