Saltar a contenido

BRONZE SANDCASTLE utiliza shells de Meterpreter modificados

Este grupo de hackers, con sede en China, usa el sideloading de DLL en estos ataques.

Los investigadores de la Counter Threat Unit™ (CTU) y de SophosLabs han analizado una serie de incidentes atribuidos al grupo de hackers BRONZE SANDCASTLE.

El indicador técnico más característico de BRONZE SANDCASTLE es el uso sistemático de la carga lateral de DLL de Sandboxie

Detalles sobre la carga lateral de DLL

En los sistemas de varias víctimas, los ejecutables legítimos de Sandboxie se colocaron en el mismo directorio que un archivo malicioso llamado sbiedll.dll. De esta forma, se conseguía que la aplicación, considerada de confianza, cargara, durante su ejecución, código controlado por el atacante.

Este patrón recurrente constituye una especie de sello distintivo del grupo, aunque los atacantes también usan otras combinaciones de archivos para el sideloading.

Lee el artículo completo en inglés: https://www.sophos.com/en-us/blog/bronze-sandcastle-deploys-modified-meterpreter-shells