Как Bronze Sandcastle прячет бэкдоры в доверенных приложениях?

Группировка Bronze Sandcastle, связанная с Китаем, стала известна благодаря атакам на организации в Азии и Африке. По данным Sophos, злоумышленники действуют как минимум с середины 2025 года. Между августом 2025-го и августом 2026-го исследователи зафиксировали пострадавших на Филиппинах, Тайване, в Афганистане и Намибии; вероятной целью была также Южная Корея. Следы активности чаще всего приходятся на часовой пояс UTC+8.

Характерный приём группы — подмена DLL, которую загружает легальная программа. Windows ищет библиотеку в заданной последовательности папок. Если приложение запрашивает DLL без полного пути, злоумышленник может положить файл с нужным именем в директорию, которую система проверит раньше той, где находится подлинная библиотека. Программа запускает вредоносный код, принимая его за штатный компонент.
В случае Bronze Sandcastle Sophos обнаружила настоящие исполняемые файлы Sandboxie и вредоносную библиотеку sbiedll.dll. Подменённая DLL заставляла доверенное приложение SandboxieWUAU.exe выполнять код атакующих. Как пояснил исследователь Sophos Габор Саппанос, повторное использование Sandboxie для такой загрузки стало наиболее заметным техническим признаком группы.
Та же схема применялась и с другими программами. Sophos выявила семь сочетаний исполняемых файлов и подменённых библиотек:

[]javaw.exe — Java-приложение; DLL jli.dll.
[]Krita.exe — графический редактор Krita; DLL Krita.dll.
[]NvdaHelper.exe — программа экранного доступа NVDA NonVisual Desktop Access; DLL NvdaHelperRemote.dll.
[]Jcef_helper.exe — вспомогательный компонент Java Chromium Embedded Framework; DLL Libcef.dll.
[]Vmmap.exe — анализатор памяти процессов Sysinternals; DLL version.dll.
[]LineAppMgr.exe — приложение для обмена сообщениями LINE; DLL msvcp140.dll.
[]bginfo64.exe — утилита Sysinternals для показа сведений о системе; DLL snmpapi.dll.

Доверенная программа помогает вредоносному коду затеряться среди обычных процессов. Как отмечала компания Zscaler в опубликованном на предыдущей неделе анализе, антивирусу бывает сложнее распознать код, запущенный через легальное, часто подписанное цифровым сертификатом приложение. Если у программы есть повышенные права, подменённая DLL может получить их вместе с ней. А настроенное на автозапуск приложение способно сохранить присутствие вредоноса после перезагрузки.
Загруженные библиотеки обычно считывают зашифрованную полезную нагрузку из файлов config.ini и выполняют её. Исполняемые файлы при этом могут быть переименованы, чтобы выглядеть привычно для конкретной системы. Такая конструкция снижает вероятность статического обнаружения и позволяет менять поведение вредоноса, не заменяя сами DLL. Часть кода работает в памяти, не оставляя дополнительных файлов на диске.
Бэкдор собирает сведения о локальной сети и учётных записях, данные о системе и запущенных процессах. Он также может записывать нажатия клавиш и делать снимки экрана. Исследователи обнаружили две версии нагрузки: 1.1.5 и 1.1.7.
Для связи с внешней инфраструктурой использовались, среди прочего, file[.]io, gofile[.]io, ably[.]net и ably[.]io; вероятно, через эти ресурсы операторы передавали новые задания. Версия 1.1.5 обращалась к доменам dc.cathaypacifice[.]com и net.dpworldto[.]com. Версия 1.1.7 получала зашифрованные файлы конфигурации через API GitHub из репозитория github[.]com/LatonyCharnleyaW. Эта учётная запись GitHub больше недоступна.
Подмена DLL давно используется китайскими хакерскими группами. В июле 2024 года APT41 задействовала другое подписанное Sandboxie приложение, taskhost.exe, чтобы загрузить вредоносную sbiedll.dll и установить бэкдор MoonWalk. В случае Bronze Sandcastle Sophos предупреждает о практическом ограничении защиты: если полезная нагрузка и конфигурация зашифрованы и расшифровываются только во время выполнения, проверка файлов на диске может не обнаружить атаку.