Bronze Sandcastle lợi dụng Sandboxie để cài backdoor
"The China-aligned threat cluster 'Bronze Sandcastle' has been observed deploying backdoors via Sandboxie DLL sideloading since mid-2025, targeting organizations in Asia and Africa. The attackers exploit legitimate applications to load malicious DLLs, bypassing traditional security measures. The payloads enumerate network/user accounts, collect system data, and communicate with external sites including GitHub."
Kỹ thuật DLL sideloading cho phép kẻ tấn công qua mặt các giải pháp bảo mật truyền thống và thực thi mã độc trong môi trường tin cậy.
Các doanh nghiệp có thể bị mất dữ liệu, gián đoạn hoạt động, và thiệt hại uy tín do bị xâm nhập bằng kỹ thuật này. Việc phát hiện và ngăn chặn đòi hỏi đầu tư vào các giải pháp bảo mật nâng cao.
Nhóm tấn công Bronze Sandcastle, liên kết với Trung Quốc, sử dụng kỹ thuật DLL sideloading (tải thư viện động trái phép) để cài backdoor lên các tổ chức ở châu Á và châu Phi từ giữa năm 2025. Kỹ thuật này cho phép kẻ tấn công lừa các ứng dụng hợp pháp tải các DLL độc hại, qua mặt các biện pháp bảo mật thông thường.
DLL sideloading hoạt động bằng cách lợi dụng cách Windows tải các file DLL. Nếu ứng dụng không chỉ rõ đường dẫn đầy đủ, hệ điều hành sẽ tìm kiếm DLL trong các thư mục được định sẵn. Kẻ tấn công đặt DLL độc hại trùng tên với DLL hợp pháp vào một thư mục được tìm kiếm trước, khiến ứng dụng tải và chạy mã độc.
Sophos ghi nhận các file Sandboxie hợp lệ trên máy nạn nhân, cùng với file "sbiedll.dll" độc hại. File này khiến ứng dụng tin cậy "SandboxieWUAU.exe" tải mã do kẻ tấn công kiểm soát. Ngoài Sandboxie, nhóm này còn sử dụng 7 kết hợp DLL sideloading khác, bao gồm javaw.exe, Krita.exe, và LineAppMgr.exe. Các DLL này đọc và thực thi payload được mã hóa từ file "config.ini".
Payload có thể liệt kê tài khoản mạng/người dùng, thu thập dữ liệu hệ thống, keylog, và chụp màn hình. Phiên bản 1.1.5 và 1.1.7 giao tiếp với các trang như file[.]io, gofile[.]io, và thậm chí cả GitHub (tài khoản github[.]com/LatonyCharnleyaW hiện không còn hoạt động) để nhận lệnh. APT41 cũng từng sử dụng Sandboxie để sideload DLL độc hại vào năm 2024.
Câu hỏi thường gặp
DLL sideloading là gì?
DLL sideloading là kỹ thuật tấn công lợi dụng cách Windows tải các file DLL. Kẻ tấn công đặt DLL độc hại trùng tên với DLL hợp pháp vào thư mục ưu tiên, khiến ứng dụng tải và chạy mã độc thay vì file gốc.
Bronze Sandcastle nhắm mục tiêu vào khu vực nào?
Nhóm này nhắm mục tiêu vào các tổ chức ở châu Á và châu Phi, với các nạn nhân được ghi nhận ở Philippines, Đài Loan, Afghanistan, Namibia, và có thể là Hàn Quốc.
Payload của Bronze Sandcastle có thể làm gì?
Payload có thể liệt kê tài khoản mạng/người dùng, thu thập dữ liệu hệ thống, ghi lại thao tác gõ phím (keylog), và chụp màn hình. Nó cũng giao tiếp với các trang web để nhận lệnh từ kẻ tấn công.
Góc nhìn của Orange Cloud
Theo chúng tôi, kỹ thuật DLL sideloading này đặc biệt nguy hiểm vì nó tận dụng các ứng dụng đã được tin cậy, khiến việc phát hiện trở nên khó khăn hơn. Các doanh nghiệp Việt Nam nên tập trung vào việc theo dõi các hành vi bất thường như DLL đọc file cục bộ rồi thực thi ngay lập tức, thay vì chỉ dựa vào phát hiện file tĩnh. Điều đáng chú ý là việc mã hóa payload và cấu hình khiến việc phân tích trở nên phức tạp, đòi hỏi các công cụ và kỹ năng chuyên sâu hơn.