Pesquisadores de segurança cibernética revelaram detalhes de um grupo de ameaças ligado à China, até então não documentado, conhecido como Bronze Sandcastle. O grupo vem atacando organizações na Ásia e na África desde meados de 2025.
“O marcador técnico mais distintivo do Bronze Sandcastle é o uso consistente de sideloading de DLL (Dynamic Link Library, ou biblioteca de vínculo dinâmico) do Sandboxie”, afirmou o pesquisador de segurança da Sophos Gabor Szappanos em uma publicação divulgada na terça-feira.
Entre agosto de 2025 e agosto de 2026, os ataques conduzidos pelo ator de ameaça resultaram em vítimas nas Filipinas, em Taiwan, no Afeganistão, na Namíbia e, provavelmente, na Coreia do Sul. As evidências indicam que o Bronze Sandcastle está mais ativo no fuso horário UTC+8 (Tempo Universal Coordenado, com oito horas a mais).
O sideloading de DLL é uma técnica adversária popular que explora a forma como o Windows carrega arquivos DLL, permitindo que um atacante engane um programa legítimo para que ele carregue uma DLL maliciosa.
Quando um aplicativo é iniciado, ele precisa carregar várias DLLs para funcionar corretamente. Se o aplicativo não fornecer o caminho completo para uma DLL necessária, o sistema operacional a procura em uma sequência predeterminada de diretórios.
Um atacante pode aproveitar esse comportamento ao colocar uma DLL maliciosa com o mesmo nome de uma legítima em um local que o Windows pesquisa antes da pasta que contém a DLL verdadeira. Assim, quando o aplicativo legítimo é iniciado, ele carrega e executa a DLL maliciosa, o que dá ao atacante uma forma de entrar no sistema.
“Como o código malicioso é executado por um aplicativo confiável e frequentemente assinado digitalmente, é menos provável que seja sinalizado por antivírus e outras soluções de segurança”, observou a Zscaler em uma análise publicada na semana passada.
“Se o aplicativo legítimo for executado com privilégios elevados, a DLL maliciosa herdará essas mesmas permissões, permitindo que o atacante realize ações mais sensíveis no sistema.”
Além disso, a técnica permite persistência caso o aplicativo comprometido esteja configurado para ser executado automaticamente sempre que o sistema for reiniciado, o que possibilita que o código do atacante seja executado no equipamento infectado.
A Sophos afirmou ter observado executáveis legítimos do Sandboxie colocados em vários ambientes de vítimas, junto com um arquivo malicioso “sbiedll.dll” que, por sua vez, faz o aplicativo confiável (“SandboxieWUAU.exe”) carregar código controlado pelo atacante durante a execução.
Além do Sandboxie, o Bronze Sandcastle foi usado em outras sete combinações de sideloading de DLL:
- javaw.exe (aplicativo Java) – jli.dll
- Krita.exe (programa de pintura digital Krita) – Krita.dll
- NvdaHelper.exe (NVDA, sigla de NonVisual Desktop Access, leitor de tela) – NvdaHelperRemote.dll
- Jcef_helper.exe (auxiliar do Java Chromium Embedded Framework) – Libcef.dll
- Vmmap.exe (analisador de memória de processos da Sysinternals) – version.dll
- LineAppMgr.exe (aplicativo de mensagens LINE) – msvcp140.dll
- bginfo64.exe (utilitário da Sysinternals que exibe informações do sistema) – snmpapi.dll
“As DLLs carregadas por sideloading normalmente leem e executam payloads armazenados em arquivos de configuração criptografados (config.ini)”, afirmou a Sophos. “Esse design minimiza a detecção estática e permite que os operadores ajustem o comportamento sem substituir os binários das DLLs. Executáveis legítimos renomeados são frequentemente usados para se misturar aos ambientes das vítimas, e a execução resulta em atividade de shellcode na memória, em vez de artefatos adicionais no disco.”
A DLL foi projetada para carregar e executar um payload criptografado (“config.ini”), que funciona como um backdoor capaz de enumerar a rede local e as contas de usuário, além de coletar metadados do sistema, processos em execução, registros de teclas digitadas e capturas de tela. Até o momento, foram identificadas duas versões diferentes desse payload: 1.1.5 e 1.1.7.
Também foi constatado que o payload se comunica com sites externos (por exemplo, file[.]io, gofile[.]io, ably[.]net e ably[.]io), provavelmente para receber tarefas adicionais de seus operadores. Além disso, a versão 1.1.5 foi observada usando dc.cathaypacifice[.]com e net.dpworldto[.]com como servidores de comando e controle (C2).
Já os payloads da versão 1.1.7 foram observados se comunicando com repositórios do GitHub (“github[.]com/LatonyCharnleyaW”) por meio de sua API (interface de programação de aplicações) para baixar arquivos de configuração criptografados. A conta no GitHub não está mais acessível.
Esta não é a primeira vez que grupos de hackers chineses recorrem ao sideloading de DLL, nem a primeira vez que o Sandboxie é empregado em ataques desse tipo. Em julho de 2024, o ator de ameaça APT41 (sigla de ameaça persistente avançada) usou outro executável assinado pelo Sandboxie (“taskhost.exe”) para carregar uma versão maliciosa de “sbiedll.dll” e, no fim, implantar um backdoor chamado MoonWalk.
“O grupo de ameaças usa predominantemente arquivos de payload e de configuração criptografados, decodificados em tempo de execução, o que significa que detecções estáticas baseadas em arquivos podem ser ineficazes”, afirmou a Sophos. “As organizações devem, em vez disso, focar em indicadores comportamentais, como DLLs que leem arquivos locais seguidos de execução imediata na memória, o que pode indicar atividade de decodificação e preparação.”
