Detecção de Ataques de DLL Sideloading

Quando Usar

• Ao investigar possível sequestro de DLL em ambientes corporativos
• Após alertas de EDR sobre DLLs não assinadas carregadas por aplicativos assinados
• Ao procurar por persistência de APT usando wrappers de aplicativos legítimos
• Durante a resposta a incidentes para identificar aplicativos trojanizados
• Quando inteligência de ameaças indica campanhas de DLL sideloading visando softwares específicos

Pré-requisitos

• EDR com monitoramento de carregamento de DLL (CrowdStrike, MDE, SentinelOne)
• Sysmon Event ID 7 (Image Loaded) com verificação de hash
• Lista de permissões de aplicativos (whitelisting) ou monitoramento de integridade de DLL
• Inventário de software de aplicativos legítimos e caminhos esperados de DLL
• Capacidades de verificação de assinatura de código

Fluxo de Trabalho

1. Identificar Alvos de Sideloading: Pesquisar aplicativos vulneráveis conhecidos que carregam DLLs sem qualificação completa de caminho (LOLBAS, bancos de dados de DLL-sideload).
2. Monitorar Eventos de Carregamento de DLL: Consultar Sysmon Event ID 7 para carregamentos de DLL onde o caminho da DLL difere do diretório esperado do aplicativo.
3. Verificar Assinaturas de DLL: Sinalizar DLLs não assinadas ou não confiáveis carregadas por executáveis assinados.
4. Detectar Anomalias de Caminho: Identificar executáveis legítimos rodando de locais incomuns (Temp, AppData, Public) que podem ser wrappers de isca.
5. Verificação de Hash: Comparar hashes de DLL carregadas com versões conhecidas e feeds de inteligência de ameaças.
6. Correlacionar com Comportamento de Processo: Verificar se o processo hospedeiro exibe comportamento incomum (conexões de rede, processos filhos) após carregar a DLL suspeita.
7. Documentar e Remediar: Relatar instâncias de sideloading, colocar em quarentena DLLs maliciosas e atualizar regras de detecção.

Conceitos Chave

Ferramentas & Sistemas

Cenários Comuns

1. Wrapper de Aplicativo Legítimo: Adversário copia aplicativo assinado (ex: atualizador do OneDrive) para pasta temporária ao lado de DLL maliciosa com o mesmo nome da dependência esperada.
2. Exploração de Phantom DLL: DLL maliciosa colocada em um local do PATH onde o aplicativo legítimo procura por uma DLL inexistente.
3. Carregamento de Proxy de DLL: Versão maliciosa de version.dll faz proxy de todas as exportações para a version.dll real enquanto executa código malicioso em DllMain.
4. Sequestro de Atualização de Software: Atacante substitui DLL em um diretório de staging de atualização antes que o atualizador legítimo a carregue.

Formato de Saída

Hunt ID: TH-SIDELOAD-[DATE]-[SEQ]
Technique: T1574.002
Host Application: [Legitimate signed executable]
Sideloaded DLL: [Malicious DLL name and path]
Expected DLL Path: [Where DLL should legitimately be]
DLL Signed: [Yes/No]
App Location: [Expected/Anomalous]
Host: [Hostname]
Risk Level: [Critical/High/Medium/Low]