El DLL side-loading es atractivo para los atacantes porque permite que el código malicioso se ejecute bajo la apariencia de una aplicación legítima y confiable, lo que dificulta mucho su detección y bloqueo. Está mapeado en MITRE ATT&CK bajo Hijack Execution Flow (T1574.002) y aparece constantemente tanto en campañas de malware genérico como en intrusiones sofisticadas y dirigidas.

Abusa de binarios confiables y firmados. Los atacantes buscan aplicaciones legítimas que carguen DLLs desde su directorio actual o desde rutas con permisos de escritura sin una validación estricta, y luego colocan una DLL maliciosa con el nombre de archivo esperado junto al ejecutable. El programa confiable hace el trabajo pesado por ellos. Huntress ha observado este patrón con una variedad de aplicaciones legítimas, incluidas herramientas como ADNotificationManager.exe y DLPUserAgent.exe, que son aprovechadas para cargar payloads maliciosos sin ninguna modificación a los binarios en sí.

Está diseñado específicamente para evadir las defensas. Como el proceso principal es una aplicación conocida y firmada, las herramientas de seguridad tienen muchas menos probabilidades de marcar su actividad como sospechosa. Por eso esta técnica cae bajo la táctica de "evasión de defensas" en MITRE ATT&CK. La DLL maliciosa viaja dentro de un proceso confiable y puede heredar esa "confianza" implícita del proceso, lo que dificulta que tanto los sistemas de seguridad como los analistas humanos la detecten.

Se esconde entre el ruido. Las DLLs cargadas mediante side-loading suelen colocarse en ubicaciones que ya contienen un alto volumen de archivos de aplicaciones legítimas, como subdirectorios de %ProgramData% y carpetas de datos de perfil de usuario. Las DLLs sin firmar ubicadas en estos directorios son un indicio de tradecraft bien documentado, pero pueden pasarse por alto fácilmente sin un monitoreo dedicado. En la investigación de Huntress sobre una campaña falsa de soporte técnico que distribuía Havoc C2, se colocaron DLLs maliciosas en %PROGRAMDATA%\Adobe\ARM, una ubicación diseñada para mezclarse con la actividad legítima de software de Adobe.

Permite un acceso sigiloso y persistente en el arranque. Una vez que una aplicación vulnerable está configurada para ejecutarse al inicio o ya está instalada como servicio, una DLL maliciosa colocada junto a ella se cargará automáticamente en cada arranque. En la campaña de Havoc C2 observada por Huntress, los adversarios fueron un paso más allá y desplegaron tareas programadas que reconstruían y volvían a lanzar el payload de side-loading en cada reinicio del sistema, asegurando la persistencia incluso después de los primeros intentos de remediación.