BRONZE SANDCASTLE применяет DLL-сайдлоадинг и копирует базу Active Directory
BRONZE SANDCASTLE, хакерская группировка, базирующаяся в Китае, целенаправленно атакует организации преимущественно в Азии и Африке. Зафиксированные с августа 2025 года по август 2026 года инциденты затронули жертв на Филиппинах, в Тайване, Афганистане, Намибии и, возможно, в Южной Корее. Группировка активна в рабочие часы по UTC+8, что, по оценке исследователей, подтверждает её работу из Китая. Среди наиболее характерных приёмов группы многократное использование легитимных исполняемых файлов Sandboxie для загрузки вредоносной DLL sbiedll.dll. Исследователи выявили и другие сочетания легитимных загрузчиков с вредоносными DLL.
Обычно операторы помещают в один каталог переименованный легитимный исполняемый файл, вредоносную DLL и зашифрованный файл config.ini. DLL расшифровывает полезную нагрузку и выполняет её в оперативной памяти. Такой способ сокращает число дополнительных артефактов на диске и позволяет операторам менять конфигурацию без замены загрузчика. Для сокрытия логики вредоносная DLL использует сглаживание потока управления и виртуализированный конечный автомат.
Полезные нагрузки включают позиционно-независимый отражательный загрузчик PE, который вручную проверяет PE-файлы и может выполнять их в оперативной памяти. Его реализация напоминает бесслойные шеллкоды Metasploit и полезные нагрузки на основе Meterpreter, но использует нестандартные процедуры хеширования и преобразования API и значительно сложнее типичного вывода Metasploit. Также обнаружены компоненты, связанные с проектом COFFLoader. По оценке исследователей, это указывает на использование пользовательских файлов Beacon Object Files для постэксплуатации.
Исследователи идентифицировали две наблюдаемые версии: 1.1.5 и 1.1.7. Они передают структурированные данные JSON в инфраструктуру управления и взаимодействуют с доменами, связанными с сервисами обмена файлами и сообщениями: file.io, gofile.io, ably.net и ably.io. Версия 1.5 взаимодействовала с доменами, в том числе dc.cathaypacifice.com и net.dpworldto.com. Версия 1.7 также обращалась к репозиториям GitHub, чтобы получить зашифрованные файлы конфигурации и возможные импланты.
После развертывания операторы изучали сеть и учётные записи с помощью команд Windows net. Они также запускали vssadmin.exe, чтобы создать теневые копии томов перед копированием ntds.dit, базы данных Active Directory с учётными данными и информацией о домене. Строки в оперативной памяти и пользовательские функции указывают на поддержку кражи данных и более широкого спектра действий после компрометации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
