Se ha detectado una actividad maliciosa basada en la técnica DLL Sideloading, que se fundamenta en el escenario clásico de Sideloading, pero incorpora complejidad y capas adicionales a su ejecución. La investigación realizada por Sophos indica que los actores responsables de esta amenaza han utilizado múltiples variaciones del mismo escenario, intercambiando repetidamente un componente en el proceso para eludir la detección.
Origen y evolución de la técnica
La técnica DLL Sideloading se remonta al año 2014, cuando fue descrita por Amanda Stewart de Fireeye como una forma de autoría del malware. Esta técnica ha sido utilizada posteriormente de manera genérica por diversos tipos de malware, incluido el Qbot.
Conceptos técnicos
- DLL (Dynamic Link Library): Es una biblioteca de enlace dinámico. Se puede consultar la documentación oficial de Microsoft para más información.
- Sideloading: Se refiere a la forma y el orden para cargar DLL, según lo descrito por Microsoft.
Este ataque abusa del orden de búsqueda de DLL que tienen los binarios, posicionando la carga maliciosa en un lugar específico. El orden de búsqueda depende de si el modo de búsqueda segura de DLL está habilitado o no. El modo seguro de búsqueda de DLL (que está activo por defecto) mueve la carpeta actual del usuario hacia atrás en el orden de búsqueda.
Para deshabilitar el modo seguro, se debe crear un valor de registro HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode y configurarlo en 0. La función SetDllDirectory también puede deshabilitar efectivamente este modo.
Ejemplo de ataque
El ataque se basa en un escenario clásico de Sideloading, que incluye una aplicación limpia, un cargador malicioso y una carga útil cifrada. Sin embargo, Sophos ha detectado una actividad maliciosa que añade complejidad a su ejecución.
En esta investigación se encontraron varias variaciones en el enfoque del doble limpiador-instalador. Estas variaciones implicaban cambios precisamente en el programa utilizado en la segunda etapa, lo cual generó efectos secundarios.
Actor de la amenaza
El actor asociado a este ataque recibe diversos nombres: «Operation Dragon Breath», «APT-Q-27» o «Golden Eye Dog». Se cree que está especializado en los juegos de azar online y sus participantes. Las campañas iniciales se dirigían a usuarios de Windows de habla china que participaban en juegos de azar, con vectores de infección distribuidos a través de Telegram.
Hasta la fecha, se han identificado objetivos en Filipinas, Japón, Taiwán, Singapur, Hong Kong y China.
Vector de infección
La investigación llevó a un sitio web (telegramos[.]org) que ofrece versiones en chino de la aplicación Telegram para Android, iOS y Windows. Se cree que el usuario afectado descargó el paquete que causó la infección desde este sitio.
Se crea un acceso directo al supuesto Telegram en el escritorio, pero este no ejecuta el programa Telegram, sino un comando inusual:
C:\Users\{redacted}\AppData\Roaming\Tg_B518c1A0Ff8C\appR.exe /s /n /u /i:appR.dat appR.dllEste comando ejecuta la biblioteca appR.dll, que es otro componente de Windows renombrado, scrobj.dll. A continuación, se ejecuta el código JavaScript almacenado en appR.dat.
El malware establece la persistencia y permite la ejecución automática tras el inicio del sistema. Los componentes de carga lateral y el enlace de inicio solo se crean cuando se ejecuta el enlace Telegram del escritorio, lo cual podría ser un truco anti-análisis.