El DLL sideloading es una técnica en la que los atacantes colocan una DLL maliciosa junto a un programa de Windows legítimo, a menudo firmado, para que este cargue y ejecute su código.
Cómo funciona el DLL sideloading
Los programas de Windows cargan bibliotecas de enlace dinámico (DLL) por su nombre. Si no se indica la ruta completa, Windows las busca en varios lugares, empezando por la carpeta de la propia aplicación. Los atacantes toman un ejecutable legítimo que espera una DLL concreta —por ejemplo, un componente de un antivirus, de un reproductor multimedia o de una herramienta de actualización—, lo copian en una carpeta junto a una DLL maliciosa con el mismo nombre y lo ejecutan. El programa de confianza carga la biblioteca maliciosa, que ejecuta la carga y a menudo reenvía las llamadas a la DLL real para que todo siga funcionando.
MITRE ATT&CK la incluye en Hijack Execution Flow (T1574), junto con técnicas afines de secuestro del orden de búsqueda de DLL.
Por qué es importante
- El código malicioso se ejecuta dentro de un proceso firmado y con buena reputación, lo que ayuda a evadir el EDR y las listas de aplicaciones permitidas.
- Las conexiones de red y la actividad de archivos parecen proceder de un programa de confianza.
- Los atacantes entregan el trío «EXE legítimo + DLL maliciosa + carga cifrada» en un archivo comprimido o una imagen ISO.
El DLL sideloading es desde hace más de una década una seña de identidad de los grupos APT, sobre todo con las familias de malware PlugX y ShadowPad, y hoy lo usan ampliamente operadores de ransomware y de infostealers. Encaja bien con las tácticas de living off the land, que abusan de software de confianza.
Cómo detectarlo y prevenirlo
- Alertar cuando programas firmados se ejecuten desde ubicaciones inusuales, como las carpetas Temp o Descargas.
- Vigilar las DLL sin firmar cargadas por procesos firmados y los ejecutables vulnerables conocidos.
- Usar control de aplicaciones (WDAC, AppLocker) con reglas para DLL y restringir la escritura en las carpetas de programas.
- Los desarrolladores deben cargar las DLL con rutas completas y una configuración segura del orden de búsqueda.
