پژوهشگران امنیتی در بررسی مجموعه‌ای از حملات منتسب به عامل تهدید (Threat Actor) موسوم به BRONZE SANDCASTLE، متوجه استفاده گسترده و سیستماتیک این گروه از تکنیک DLL Sideloading در نرم‌افزار Sandboxie شده‌اند.
مکانیسم استقرار و اجرای کد
در این حملات، فایل‌های اجرایی قانونی Sandboxie در کنار یک فایل مخرب به نام sbiedll.dll قرار داده می‌شوند. این امر باعث می‌شود برنامه مورد اعتماد در زمان اجرا، کد کنترل‌شده توسط مهاجم را بارگذاری کند. این الگو به عنوان یک امضای فنی برای این گروه شناخته می‌شود، هرچند آن‌ها از ترکیب‌های مختلف دیگری از فایل‌ها برای Sideloading نیز استفاده می‌کنند.
DLLهای بارگذاری شده معمولاً Payloadهایی را که در فایل‌های پیکربندی رمزنگاری شده config.ini ذخیره شده‌اند، خوانده و اجرا می‌کنند. این طراحی باعث کاهش احتمال شناسایی استاتیک (Static Detection) شده و به اپراتورها اجازه می‌دهد بدون جایگزینی باینری‌های DLL، رفتار بدافزار را تغییر دهند. همچنین، برای ترکیب شدن با محیط قربانی، از فایل‌های اجرایی قانونی تغییرنام یافته استفاده می‌شود تا فعالیت‌ها به صورت In-memory Shellcode اجرا شده و ردپایی روی دیسک باقی نماند.
تحلیل فنی بدافزار و obfuscation
کد موجود در DLL مخرب از یک Flattened Control-Flow Dispatcher استفاده می‌کند که منطق برنامه را از طریق یک ماشین حالت مجازی (Virtualized State Machine) به جای شاخه‌های مستقیم پنهان می‌کند. این فرآیند شامل عملیات پیچیده‌ای نظیر تعویض بایت‌ها (Byte Swapping)، چرخش متغیرها (Variable Rotations) و معکوس‌سازی است تا تحلیل استاتیک کد را برای کارشناسان امنیتی دشوار سازد.
Payload رمزگشایی شده در واقع یک برنامه Backdoor است. این Payload شباهت‌های ساختاری زیادی به Shellcodeهای بدون مرحله (Stageless) تولید شده توسط Metasploit Framework (MSF) دارد، اما تفاوت‌های کلیدی در جزئیات پیاده‌سازی مشاهده شده است. برای مثال، منطق تحلیل APIها به جای الگوریتم معروف ROR13، از توابع هشینگ و تبدیل غیر استاندارد استفاده می‌کند و حجم کد آن به مراتب بیشتر و پیچیده‌تر از Shellcodeهای معمولی MSF است.
زیرساخت فرماندهی و کنترل (C2)
این عامل تهدید برای دریافت دستورات C2 از وب‌سایت‌های قانونی مانند file.io، gofile.io و ably.io استفاده می‌کند. همچنین در نسخه‌های جدیدتر، ارتباط با مخازن GitHub برای دانلود فایل‌های پیکربندی رمزنگاری شده مشاهده شده است. داده‌های استخراج شده از سیستم قربانی در قالب اشیاء JSON ساختاریافته به سرور C2 ارسال می‌شوند.
اهداف و عملیات پس از نفوذ (Post-Exploitation)
پس از استقرار در محیط هدف، مهاجمان از دستورات net ویندوز برای شناسایی شبکه محلی و حساب‌های کاربری استفاده می‌کنند. یکی از اقدامات حساس این گروه، ایجاد نسخه‌های Shadow از طریق vssadmin.exe برای کپی کردن فایل ntds.dit است. این فایل حاوی پایگاه داده مرکزی Active Directory شامل اعتبارنامه‌های کاربران، سیاست‌های گروهی و تنظیمات امنیتی دامنه است.
تحلیل‌ها نشان می‌دهد که BRONZE SANDCASTLE عمدتاً سازمان‌هایی را در آسیا و آفریقا (از جمله فیلیپین، تایوان، افغانستان و نامیبیا) هدف قرار داده است. تطبیق ساعات فعالیت این گروه با منطقه زمانی UTC+8 و سیستم کاری 996 (ساعت ۹ صبح تا ۹ شب، ۶ روز در هفته)، احتمال تعلق این گروه به چین را تقویت می‌کند.
توصیه‌های دفاعی برای SOC و CISO
با توجه به اینکه این گروه از Payloadها و فایل‌های پیکربندی رمزنگاری شده استفاده می‌کند، شناسایی‌های مبتنی بر فایل (Static File-based Detection) ممکن است ناکارآمد باشند. سازمان‌ها باید بر اندیکاتورهای رفتاری (Behavioral Indicators) تمرکز کنند، از جمله:
- مانیتورینگ DLLهایی که فایل‌های محلی را خوانده و بلافاصله اقدام به اجرای کد در حافظه می‌کنند.
- فعال‌سازی نظارت بر الگوهای Reflective Loading.
- شناسایی هدرهای PE غیرعادی در حافظه (Memory).
- رصد فرآیندهایی که ویژگی‌های اجرای Position-independent Shellcode را نشان می‌دهند.
