Bronze Sandcastle: el DLL sideloading que tu pyme debe vigilar

Un nombre nuevo en el mapa de amenazas persistentes

Los investigadores de Sophos han puesto nombre a un clúster de amenazas que hasta ahora pasaba desapercibido: Bronze Sandcastle, un grupo alineado con China que, según el análisis publicado por el investigador Gabor Szappanos, lleva atacando organizaciones en Asia y África desde mediados de 2025. Lo que lo hace singular no es el volumen ni el arsenal, sino una técnica muy concreta: el uso sistemático de DLL sideloading aprovechando Sandboxie, la conocida utilidad de aislamiento de aplicaciones.

Para quien no esté familiarizado con el término, el DLL sideloading consiste en colocar una biblioteca maliciosa con el nombre exacto de una DLL legítima en la misma carpeta que un ejecutable de confianza. Cuando ese ejecutable arranca, carga la versión falsa en lugar de la buena, y el atacante obtiene ejecución de código sin necesidad de exploits ni de permisos elevados. Es una técnica vieja, pero sigue funcionando porque se apoya en algo muy difícil de erradicar: la confianza que depositamos en los binarios que ya conocemos.

Por qué Sandboxie y no otra cosa

Sandboxie es una herramienta legítima, con años de recorrido y una base de usuarios que la instala precisamente para aislar procesos y reducir riesgos. Ese es el detalle que convierte a Bronze Sandcastle en un caso interesante: el grupo no ha inventado un vector nuevo, ha elegido un software que muchas empresas ya tienen o podrían tener instalado sin levantar sospechas. Si un ejecutable de Sandboxie carga una DLL manipulada desde su propio directorio, el resultado es una puerta trasera que, a ojos de un antivirus básico, puede parecer parte del funcionamiento normal de la aplicación.

El informe de Sophos identifica esta técnica como la marca técnica más distintiva del clúster, lo que sugiere un modus operandi estable y repetido en el tiempo. No estamos ante un ataque oportunista que cambia de herramienta cada semana, sino ante un actor que ha encontrado un método que le funciona y lo explota con constancia.

Qué significa esto para una pyme

La reacción instintiva de muchos responsables de IT en una pyme es pensar que un grupo alineado con China no va a perder el tiempo con ellos. Es un error de cálculo frecuente. Los actores de amenazas persistentes no eligen objetivos por tamaño, sino por accesibilidad y utilidad. Una pyme con un proveedor conectado, con un ERP expuesto o con un empleado que descarga utilidades de foros puede ser la primera piedra de una cadena que luego llega más arriba. Y en el caso del DLL sideloading, el coste de entrada para el atacante es bajo: basta con engañar a alguien para que ejecute un archivo o con comprometer un instalador.

Hay un segundo motivo para tomárselo en serio: la técnica en sí no requiere privilegios de administrador. Eso significa que un usuario estándar, con una cuenta sin permisos elevados, puede ser el vector de entrada. Si tu política de seguridad se apoya solo en "los usuarios no son administradores", este caso demuestra que esa medida, siendo necesaria, no es suficiente.

Recomendaciones concretas

1. Inventario de software de aislamiento y utilidades. Revisa si en tus equipos hay Sandboxie u otras herramientas similares instaladas. Si no hay una justificación de negocio clara, desinstálalas. Cada binario de confianza en un directorio escribible es una oportunidad para el sideloading.
2. Controla qué se ejecuta desde carpetas de usuario. Las políticas de aplicación (AppLocker, WDAC o equivalentes) que impiden lanzar ejecutables desde Descargas, Escritorio o temporales cortan de raíz buena parte de estos ataques.
3. Verifica la integridad de las DLL críticas. Herramientas de monitorización de integridad de archivos y firmas de código ayudan a detectar cuándo una DLL legítima ha sido sustituida por otra con el mismo nombre.
4. No te fíes solo del antivirus. El sideloading está diseñado para parecer legítimo. Complementa con EDR o, si el presupuesto no llega, con reglas de detección basadas en comportamiento y revisión periódica de procesos que cargan DLL desde rutas no habituales.
5. Forma al equipo en la cadena de suministro. Buena parte de estos ataques empiezan con un instalador o una actualización falsa. Un empleado que sabe distinguir un binario firmado de uno que no lo está vale más que cualquier herramienta.

El contexto más amplio: la técnica viaja

Bronze Sandcastle es un recordatorio de que las técnicas de los grupos estatales acaban filtrándose al ecosistema criminal general. Lo que hoy vemos en un clúster alineado con China, mañana aparece en un kit de phishing de bajo coste. Por eso conviene leer este tipo de informes no como una alerta sobre un enemigo lejano, sino como un avance de lo que puede llegar a tu red en cuestión de meses.

En ForgeNEX hemos insistido en otras ocasiones en que la seguridad de una pyme se juega en los detalles operativos, no en las grandes promesas. Casos como el de APT28 y el caso Swallowtail o el espionaje en la oficina muestran el mismo patrón: actores sofisticados que aprovechan configuraciones descuidadas y herramientas cotidianas. La defensa no consiste en comprar el producto más caro, sino en cerrar las puertas que ya tienes abiertas.

Una nota sobre el alcance del informe

Conviene ser prudente con lo que el informe no dice. Sophos describe el clúster, su técnica distintiva y las regiones afectadas, pero no detalla en el extracto disponible el número de víctimas ni los sectores concretos. Cualquier cifra que veas circulando por ahí y no esté en el informe original debe tratarse con escepticismo. En seguridad, la especulación hace más daño que la ignorancia: lleva a invertir en lo que no toca y a descuidar lo que sí.

Lo que sí podemos afirmar es que el DLL sideloading sigue siendo una técnica rentable para el atacante y barata de mitigar para el defensor. Revisar el inventario de software, restringir la ejecución desde rutas de usuario y monitorizar la carga de bibliotecas son medidas que cualquier pyme puede empezar a aplicar esta misma semana, sin grandes presupuestos y sin esperar a que el incidente ocurra.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.