كشف باحثو الأمن السيبراني في شركة Sophos عن مجموعة تجسس إلكتروني لم تكن موثقة سابقاً تحمل اسم Bronze Sandcastle، ويُعتقد أنها مرتبطة بالصين، حيث استهدفت منظمات في آسيا وأفريقيا منذ منتصف عام 2025 مستخدمة أساليب متقدمة تعتمد على تحميل مكتبات DLL الخبيثة عبر تطبيقات شرعية لنشر أبواب خلفية وجمع المعلومات الحساسة.
نشاط يمتد عبر آسيا وأفريقيا
وفقاً للتحليل، استهدفت عمليات المجموعة ضحايا في الفلبين وتايوان وأفغانستان وناميبيا، مع مؤشرات إضافية على وجود ضحايا محتملين في كوريا الجنوبية. كما تشير الأدلة التشغيلية إلى أن نشاط المجموعة يتركز بشكل أساسي ضمن النطاق الزمني UTC+8، وهو ما يتوافق مع أنماط عمل العديد من مجموعات التجسس السيبراني المرتبطة بالصين.
ويؤكد الباحثون أن السمة التقنية الأكثر تميزاً للمجموعة هي اعتمادها المتكرر على تقنية DLL Sideloading عبر برنامج Sandboxie، وهي تقنية ظهرت مراراً في حملات تجسس صينية سابقة.
كيف تعمل تقنية DLL Sideloading؟
تعتمد التقنية على آلية تحميل المكتبات الديناميكية في نظام ويندوز. فعند تشغيل برنامج شرعي يحتاج إلى ملف DLL، يبحث النظام عن هذا الملف ضمن مسارات محددة مسبقاً. ويستغل المهاجمون هذا السلوك عبر وضع نسخة خبيثة تحمل الاسم نفسه في موقع يتم فحصه قبل الوصول إلى النسخة الأصلية.
وعندما يبدأ البرنامج الشرعي العمل، يقوم بتحميل المكتبة الخبيثة دون علم المستخدم، مما يتيح تنفيذ التعليمات البرمجية للمهاجم تحت غطاء تطبيق موثوق وموقع رقمياً. ويمنح ذلك المهاجم فرصة لتجاوز بعض وسائل الحماية التقليدية والحصول على الصلاحيات نفسها التي يمتلكها التطبيق الشرعي.
Sandboxie كحصان طروادة موثوق
لاحظت Sophos وجود ملفات تنفيذية أصلية من برنامج Sandboxie في البيئات المخترقة، إلى جانب ملف خبيث باسم:
وعند تشغيل الملف الشرعي:
يتم تحميل المكتبة الخبيثة تلقائياً، ما يسمح للمهاجمين بتنفيذ تعليماتهم البرمجية دون إثارة كثير من الشبهات.
ولم تقتصر المجموعة على Sandboxie فقط، إذ استخدمت سبعة سيناريوهات إضافية لاعتماد DLL Sideloading مع تطبيقات وأدوات معروفة، من بينها:
- Java (javaw.exe)
- Krita
- NVDA
- JCEF Helper
- Sysinternals Vmmap
- LINE Messenger
- BGInfo
وهو ما يعكس مرونة عالية في اختيار التطبيقات الموثوقة التي يمكن استغلالها داخل بيئات الضحايا.
الحمولة الخبيثة مخفية داخل ملفات إعدادات
أشارت التحقيقات إلى أن مكتبات DLL المزروعة تقوم بتحميل ملفات مشفرة غالباً تحمل اسم:
ثم تفك تشفيرها أثناء التشغيل وتنفذ محتواها مباشرة في الذاكرة دون ترك آثار إضافية واضحة على القرص الصلب. ويجعل هذا الأسلوب الاكتشاف التقليدي المبني على فحص الملفات أكثر صعوبة.
وقد حدد الباحثون نسختين رئيسيتين من الحمولة الخبيثة هما:
- الإصدار 1.1.5
- الإصدار 1.1.7
وتعمل هذه البرمجيات الخلفية على:
- جمع معلومات النظام.
- حصر الحسابات المحلية وحسابات المستخدمين.
- مراقبة العمليات الجارية.
- تسجيل ضربات لوحة المفاتيح.
- التقاط صور للشاشة.
- جمع معلومات الشبكات الداخلية.
استخدام GitHub وخدمات سحابية للتحكم والسيطرة
أظهرت التحليلات أن البرمجية الخبيثة تواصلت مع خدمات خارجية متعددة مثل:
- file.io
- gofile.io
- ably.io
- ably.net
ويُعتقد أنها استُخدمت لتلقي أوامر جديدة أو تبادل البيانات مع البنية التحتية للمهاجمين.
كما رصدت Sophos استخدام الإصدار 1.1.7 من الحمولة الخبيثة لمستودعات على GitHub من خلال واجهات API بهدف تنزيل ملفات إعدادات مشفرة تستخدم في تشغيل الباب الخلفي، قبل أن يصبح الحساب المرتبط بهذه البنية غير متاح.
ارتباط بأساليب تجسس صينية معروفة
يشير التقرير إلى أن استخدام DLL Sideloading يمثل نمطاً متكرراً لدى مجموعات التجسس الصينية، كما أن استغلال أدوات Sandboxie ظهر سابقاً في حملات نسبت إلى مجموعة APT41، والتي استخدمت ملفات موقعة رقمياً لتحميل مكتبات خبيثة ونشر باب خلفي يعرف باسم MoonWalk.
ورغم عدم وجود دليل علني يربط Bronze Sandcastle مباشرة بمجموعة صينية معروفة بعينها، فإن التشابه الكبير في الأدوات والتكتيكات وأساليب التشغيل يدعم فرضية الارتباط ببيئة التهديدات الصينية المدعومة أو المرتبطة بالدولة.
لماذا يصعب اكتشاف هذه الهجمات؟
تحذر Sophos من أن الاعتماد على مؤشرات الملفات التقليدية قد يصبح غير فعال أمام هذا النوع من الهجمات، لأن معظم الحمولة الخبيثة تكون:
- مشفرة على القرص.
- مفكوكة أثناء التشغيل فقط.
- منفذة داخل الذاكرة.
- قليلة الآثار القابلة للتحليل الجنائي التقليدي.
ولذلك توصي الشركة بالتركيز على مؤشرات السلوك، مثل:
- قيام ملفات DLL بقراءة ملفات محلية ثم تنفيذ محتواها مباشرة داخل الذاكرة.
- الأنشطة غير المعتادة المتعلقة بتحميل المكتبات الديناميكية.
- تشغيل ملفات شرعية مع مكتبات مرافقة غير متوقعة.
- أنماط التنفيذ داخل الذاكرة (In-Memory Execution).
