Nuove rivelazioni sul gruppo APT BRONZE SANDCASTLE svelano tecniche di attacco ancora più sofisticate, con un focus sull'abuso di software legittimo e l'evasione delle difese tradizionali. Le analisi aggiornate evidenziano l'uso di GitHub per il C2 e una maggiore complessità del payload.
Le attività del gruppo di hacking BRONZE SANDCASTLE, già sotto i riflettori per le sue operazioni furtive, sono state ulteriormente illuminate da nuove analisi che ne dettagliano le tattiche, tecniche e procedure (TTPs). Le infiltrazioni, che negli ultimi dodici mesi hanno colpito paesi come Filippine, Taiwan, Afghanistan e Namibia, con la Corea del Sud come potenziale bersaglio, si distinguono per un approccio estremamente sofisticato che sfrutta software Windows legittimi per mascherare le proprie operazioni, rendendo più ardua la rilevazione da parte delle difese tradizionali.
Il metodo prediletto dal gruppo è il DLL sideloading, una tecnica che consiste nel distribuire un file eseguibile autentico (come Sandboxie, Java, Krita, NVDA, LINE o vari strumenti di Sysinternals) insieme a una DLL malevola. Quando l'utente avvia l'applicazione legittima, questa carica involontariamente la DLL dannosa. Questo avviene perché, se un'applicazione non specifica il percorso completo di una DLL richiesta, il sistema operativo la cerca in una sequenza predefinita di directory. Un attaccante può sfruttare questo comportamento posizionando una DLL malevola con lo stesso nome in una posizione che Windows controlla prima della directory contenente la DLL legittima. Di conseguenza, l'applicazione carica ed esegue il codice dannoso, fornendo all'attaccante un punto d'accesso al sistema.
Le nuove fonti evidenziano come questa tecnica sia tracciata dal MITRE ATT&CK sotto la codifica T1574.001. Sono stati osservati esempi specifici come l'uso di SandboxieWUAU.exe e Start.exe rinominati, accoppiati con la DLL dannosa sbiedll.dll. Altri casi includono archivi come aez.zip contenenti javaw.exe, jli.dll e un payload config.ini cifrato. L'uso di applicazioni ampiamente diffuse e considerate affidabili riduce notevolmente la probabilità che un utente sospetti un'attività malevola, poiché il file eseguibile appare innocuo e familiare. Inoltre, se l'applicazione legittima viene eseguita con privilegi elevati, la DLL malevola eredita tali permessi, consentendo all'attaccante di eseguire azioni più sensibili sul sistema.
I ricercatori hanno identificato due versioni principali del payload, 1.1.5 e 1.1.7, entrambe basate su Meterpreter, un modulo flessibile di Metasploit. La differenza cruciale risiede nella modalità di caricamento: il backdoor viene decrittato e iniettato direttamente in memoria, evitando di lasciare tracce sul disco che potrebbero essere individuate da scanner statici. Le nuove analisi suggeriscono una complessità maggiore rispetto ai payload standard di Metasploit, con un hashing personalizzato delle API e una struttura che include elementi associati a TrustedSec COFFLoader, indicando un potenziale supporto per funzionalità custom di Beacon Object File (BOF).
Una volta attivato, il malware esegue una serie di azioni mirate, tra cui la raccolta di informazioni di sistema (hostname, nomi utente, dettagli del dominio, indirizzi IP, informazioni sul sistema operativo, metadati dei processi) e la comunicazione con server di comando e controllo (C2). Le versioni analizzate hanno mostrato comunicazioni con domini come dc[.]cathaypacifice[.]com e net[.]dpworldto[.]com per la versione 1.1.5. La versione 1.1.7, invece, ha mostrato una tattica innovativa: utilizza le API di GitHub per scaricare file di configurazione cifrati da repository, come quello precedentemente ospitato su github[.]com/LatonyCharnleyaW. Questo approccio, che sfrutta servizi legittimi come GitHub, rende il traffico C2 più difficile da distinguere dal traffico normale. Altri servizi come file[.]io, gofile[.]io, ably[.]net e `ably[.]io sono stati osservati come potenziali canali di command-and-control.
Il payload è progettato per leggere ed eseguire payload memorizzati in file config.ini cifrati. Questo design minimizza il rilevamento statico e consente agli operatori di modificare il comportamento senza sostituire le DLL. L'uso di eseguibili legittimi rinominati aiuta a mimetizzarsi negli ambienti delle vittime, con l'esecuzione che porta ad attività di shellcode in memoria piuttosto che a ulteriori artefatti su disco. Una volta ottenuto l'accesso, il malware crea copie shadow delle unità di volume e copia il file ntds.dit, il database di Active Directory che contiene informazioni critiche sull'identità del dominio, inclusi gli hash delle password. Queste attività sono indicative di un intento primario di credential theft (furto di credenziali) e di espansione laterale all'interno delle reti target. La tecnica DLL sideloading può anche consentire la persistenza se l'applicazione compromessa è configurata per avviarsi automaticamente al riavvio del sistema.
Per contrastare efficacemente queste minacce, le difese devono andare oltre la semplice verifica dell'origine dei file eseguibili. È fondamentale ispezionare le librerie caricate dalle applicazioni legittime, monitorare la presenza e l'accesso a file di configurazione cifrati che vengono decrittati poco prima dell'esecuzione in memoria, e analizzare il traffico di rete per identificare comunicazioni sospette. Un approccio proattivo, basato su analisi comportamentale (behavioral analytics), sandboxing interno e soluzioni di Endpoint Detection and Response (EDR) con capacità di analisi in memoria, può individuare attività anomale prima che il payload venga completamente decrittato ed eseguito. Le organizzazioni dovrebbero concentrarsi su indicatori comportamentali come DLL che leggono file locali seguiti da esecuzione immediata in memoria, che possono indicare attività di decodifica e staging.
BRONZE SANDCASTLE è stato distinto da altri gruppi APT, come BRONZE PRESIDENT (alias HoneyMate e Mustang Panda), principalmente per l'uso ricorrente di Sandboxie per il sideloading. L'attività concentrata durante le ore lavorative UTC+8 supporta ulteriormente l'attribuzione a un gruppo con base in Cina. Le implicazioni per le organizzazioni sono significative: è necessario valutare i rischi, rafforzare le politiche di accesso ad Active Directory, implementare un monitoraggio rigoroso dei processi critici, sensibilizzare il personale sui rischi e mantenere aggiornati tutti i componenti di sistema. L'implementazione di soluzioni di rilevamento avanzate è essenziale per contrastare attacchi che evitano il rilevamento basato su file. Il caso BRONZE SANDCASTLE sottolinea l'evoluzione costante delle tattiche degli APT, che sfruttano software legittimi e tecniche di offuscamento per eludere le difese.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
