Grupos vinculados a China, identificados como BRONZE SANDCASTLE, están utilizando aplicaciones confiables de Windows para cargar puertas traseras ocultas. Este grupo coloca archivos maliciosos junto a software legítimo para ejecutar código controlado por ellos sin alterar la aplicación original, logrando así recopilar detalles del sistema y robar credenciales de Active Directory.

Vinculados a China están utilizando aplicaciones de Windows confiables para cargar puertas traseras ocultas, recopilar detalles del sistema y robar datos de credenciales de Active Directory.

El grupo, rastreado como BRONZE SANDCASTLE, coloca archivos maliciosos junto a software legítimo, lo que permite que programas conocidos ejecuten código controlado por el atacante sin modificar la aplicación original.

La campaña muestra cómo el software genuino puede convertirse en parte de una cadena de ataque. Ataques similares de carga lateral de DLL vinculados a China han abusado de aplicaciones confiables para ocultar actividades maliciosas, aunque el hecho de compartir técnicas no establece por sí solo una conexión entre grupos de amenazas.

Investigadores de la Unidad de Contramedidas de Amenazas de Sophos y SophosLabs identificaron el malware mientras investigaban incidentes en Asia y África.

Su informe técnico sobre la campaña, publicado el 20 de octubre, describe ataques observados entre agosto de 2025 y agosto de 2026 que involucran a víctimas en Filipinas, Taiwán, Afganistán, Namibia y probablemente Corea del Sur.

Vinculados a China transforman aplicaciones confiables de Windows

La carga lateral de DLL de Sandboxie es el marcador técnico más claro del grupo. Los atacantes colocaron programas legítimos de Sandboxie junto a una librería de soporte maliciosa.

Al iniciarse, la aplicación confiable cargaba esa librería y cedía la ejecución a los atacantes. El informe también documenta el abuso de componentes de Java, Krita, NVDA, LINE y Microsoft Sysinternals.

Las librerías maliciosas normalmente leen un payload cifrado de un archivo de configuración local, lo decodifican y ejecutan el código en la memoria.

Esto separa la aplicación visible de la puerta trasera oculta y permite a los operadores cambiar el comportamiento del payload sin reemplazar la librería de carga. Los ejecutables renombrados ayudan además a que los archivos se mezclen con los sistemas comprometidos.

Otras campañas de carga lateral de DLL de ShadowPad han utilizado una estructura similar de tres partes: un programa legítimo, una librería maliciosa y un payload cifrado.

Esa similitud proporciona un contexto útil, pero Sophos rastrea a BRONZE SANDCASTLE por separado porque su actividad observada no pudo vincularse de manera confiable con BRONZE PRESIDENT o BRONZE ATLAS.

El payload de Meterpreter modificado roba datos del sistema

La puerta trasera decodificada utiliza un cargador reflectivo, que coloca un programa de Windows embebido en la memoria. Aunque su estructura se asemeja al shellcode de Metasploit, Sophos encontró rutinas de resolución de funciones personalizadas y una base de código más amplia y compleja que los ejemplos estándar. Elementos de COFFLoader también sugieren funciones personalizadas para su uso después de que un sistema sea comprometido.

Los investigadores identificaron las versiones 1.1.5 y 1.1.7 del payload. La puerta trasera envía a su servidor de control un mensaje JSON estructurado que contiene nombres de computadora y de usuario, detalles del dominio, versión del sistema operativo, direcciones IP internas y públicas, información de procesos, directorio de trabajo, tipo de procesador y tiempo de inicio.

La versión 1.1.5 contactaba con dominios de control dedicados, mientras que la versión 1.1.7 descargaba archivos de configuración cifrados a través de GitHub.

Las conexiones a servicios legítimos de mensajería y uso compartido de archivos también podrían haber servido para dar instrucciones al operador, aunque Sophos no confirmó ese propósito.

Tras obtener el acceso, los operadores utilizaron comandos de red de Windows para inspeccionar cuentas y redes locales. También crearon copias instantáneas de volumen (Volume Shadow Copies) antes de copiar la base de datos de Active Directory.

Esta actividad conecta el acceso remoto de la puerta trasera con los intentos de obtener datos sensibles de credenciales del dominio. El abuso previo de las copias instantáneas de Windows muestra por qué esta secuencia es importante: las instantáneas pueden exponer contenidos de bases de datos protegidas.

Sophos te recomienda detectar librerías que lean archivos locales y ejecuten inmediatamente código en memoria, junto con encabezados de ejecutables inusuales y carga reflectiva. El monitoreo del comportamiento y de la memoria son importantes porque los payloads cifrados pueden debilitar la detección estática de archivos.