DLL Sideloading — техніка, за якої зловмисники кладуть шкідливу DLL поруч із легітимною, часто підписаною програмою Windows, щоб та завантажила й виконала їхній код.
Як працює DLL Sideloading
Програми Windows завантажують динамічні бібліотеки (DLL) за іменем. Якщо повний шлях не вказано, Windows шукає бібліотеку в кількох місцях, починаючи з теки самого застосунку. Зловмисники беруть легітимний виконуваний файл, що очікує певну DLL, — наприклад, компонент антивіруса, медіаплеєра чи утиліти оновлення виробника, — копіюють його в теку разом зі шкідливою DLL з тим самим іменем і запускають. Довірена програма завантажує шкідливу бібліотеку, та виконує навантаження й нерідко перенаправляє виклики до справжньої DLL, щоб усе продовжувало працювати.
У MITRE ATT&CK ця техніка належить до перехоплення потоку виконання (Hijack Execution Flow, T1574) разом зі спорідненими прийомами перехоплення порядку пошуку DLL.
Чому це важливо
- Шкідливий код працює всередині підписаного процесу з доброю репутацією, що допомагає обходити EDR і білі списки застосунків.
- Мережеві підключення й файлова активність виглядають як дії довіреної програми.
- Зловмисники доставляють зв’язку «легітимний EXE + шкідлива DLL + зашифроване навантаження» в архіві чи ISO-образі.
DLL Sideloading понад десять років лишається візитівкою APT-угруповань, особливо зі шкідливим ПЗ сімейств PlugX і ShadowPad, а нині його широко застосовують вимагачі й оператори інфостилерів. Техніка добре поєднується з підходом Living off the Land, заснованим на зловживанні довіреним ПЗ.
Як виявити й запобігти
- Відстежувати запуск підписаних програм із незвичних місць — тек Temp чи «Завантаження».
- Стежити за завантаженням непідписаних DLL підписаними процесами та за відомими вразливими виконуваними файлами.
- Використовувати контроль застосунків (WDAC, AppLocker) із правилами для DLL та обмежувати запис у теки програм.
- Розробникам — завантажувати DLL за повним шляхом і використовувати безпечні налаштування порядку пошуку.
