De China-georiënteerde dreiging Bronze Sandcastle gebruikt Sandboxie DLL-sideloading om backdoors te installeren bij organisaties in Azië en Afrika.
Cybersecurityonderzoekers hebben een nieuw, China-georiënteerd dreigingscluster genaamd Bronze Sandcastle blootgelegd, dat sinds midden 2025 organisaties in Azië en Afrika aanvalt. Het kenmerkende technische aspect van deze actor is het consistente gebruik van Sandboxie DLL-sideloading, een techniek waarbij een legitiem programma wordt misleid om een kwaadaardige DLL te laden.
Tussen augustus 2025 en augustus 2026 zijn slachtoffers geïdentificeerd in onder meer de Filipijnen, Taiwan, Afghanistan, Namibië en vermoedelijk Zuid-Korea. De aanvallen vinden vooral plaats in de UTC+8 tijdzone. DLL-sideloading maakt misbruik van de manier waarop Windows DLL-bestanden laadt: als een applicatie niet het volledige pad naar een DLL opgeeft, zoekt het besturingssysteem in een vaste volgorde naar de benodigde bestanden. Door een kwaadaardige DLL met dezelfde naam als een legitieme te plaatsen in een eerder doorzocht pad, wordt deze geladen in plaats van de echte DLL. Hierdoor kan de aanvaller code uitvoeren binnen een vertrouwde applicatie, wat detectie door antivirussoftware bemoeilijkt en, indien de applicatie met verhoogde rechten draait, de aanvaller uitgebreide systeemrechten geeft.
Sophos ontdekte dat in meerdere omgevingen legitieme Sandboxie-executables werden aangetroffen, samen met een kwaadaardige "sbiedll.dll" die ervoor zorgt dat het vertrouwde proces "SandboxieWUAU.exe" tijdens runtime door de aanvaller gecontroleerde code laadt. Naast Sandboxie gebruikt Bronze Sandcastle ook zeven andere DLL-sideloadingcombinaties met bekende applicaties zoals Java, Krita, NVDA, en Sysinternals-tools. De geladen DLL’s lezen en voeren payloads uit die zijn opgeslagen in versleutelde config.ini-bestanden, wat statische detectie bemoeilijkt en flexibiliteit biedt voor gedragsaanpassingen zonder nieuwe DLL-bestanden te hoeven plaatsen.
De payloads functioneren als backdoors die lokale netwerken en gebruikersaccounts inventariseren, systeemmetadata verzamelen, lopende processen monitoren, toetsaanslagen registreren en screenshots maken. Twee versies van deze payloads zijn geïdentificeerd: 1.1.5 en 1.1.7. Daarnaast communiceren deze payloads met externe domeinen zoals file[.]io en ably[.]net om mogelijk verdere opdrachten te ontvangen. Deze aanpak maakt Bronze Sandcastle tot een geavanceerde en persistent opererende dreiging binnen de getroffen regio’s.
