Pesquisadores da Sophos investigaram uma série de ataques atribuídos a um grupo chamado BRONZE SANDCASTLE. A marca mais característica do grupo é o uso de arquivos da ferramenta Sandboxie para carregar código malicioso, uma técnica chamada DLL sideloading. Funciona assim: o criminoso coloca uma biblioteca falsa ao lado de um programa conhecido e confiável, e quando esse programa roda, ele acaba executando o código do invasor sem que o usuário perceba.

Além do Sandboxie, o grupo usa outros programas legítimos conhecidos, como ferramentas da Sysinternals, o Java, o Krita e o aplicativo de mensagens LINE. As instruções maliciosas ficam guardadas em arquivos de configuração criptografados, que só são decodificados na memória do computador. Isso dificulta a detecção por antivírus que procuram arquivos suspeitos no disco, já que quase não deixa rastros em arquivos.

O código final é um backdoor, uma porta secreta que permite ao invasor controlar o equipamento. Ele coleta informações como nome do computador, usuário, endereço IP, lista de processos e tipo de processador, e envia tudo a servidores de comando. Também foram vistas tentativas de baixar configurações de um repositório no GitHub. Segundo a Sophos, o grupo ainda tenta extrair credenciais do Active Directory, o banco de dados de usuários de redes corporativas.

As vítimas identificadas ficam nas Filipinas, em Taiwan, no Afeganistão e na Namíbia, além de possivelmente na Coreia do Sul. Os horários de atividade indicam fuso de UTC+8, o que reforça a suspeita de ligação com grupos da China, embora a Sophos afirme não ter conseguido vincular a atividade a grupos já conhecidos.

A recomendação da empresa é que organizações, sobretudo as que podem ser alvo de operações de inteligência chinesas, conheçam as táticas do grupo. Como arquivos criptografados passam despercebidos por verificações tradicionais, a dica é monitorar comportamentos, como uma DLL que lê arquivos locais e executa código logo em seguida, e usar detecção de comportamento na memória. A Sophos também listou detecções de seus produtos, com a lista completa de indicadores disponível no seu repositório no GitHub.