Kinesiska hackare utnyttjar Sandboxie för att stjäla Active Directory-data
En kinesisk hackargrupp, BRONZE SANDCASTLE, använder sig av legitima Windows-applikationer för att installera krypterade backdoors. Attackerna riktar sig mot organisationer i Asien och Afrika, inklusive datastöld från Active Directory. Sandboxie spelar en central roll i dessa attacker.
En ny undersökning från Sophos CTU och Sophos Labs har avtäckts hur den kinesiska hackargruppen BRONZE SANDCASTLE opererar. Mellan augusti 2025 och augusti 2026 spårade forskare deras aktivitet, vilket resulterade i identifieringen av offer i länder som Filippinerna, Taiwan, Afghanistan och Namibia, samt med Sydkorea som en trolig målgrupp.
Gruppen utnyttjar legitima Windows-applikationer för att installera krypterade backdoors på organisationers system. Detta görs genom en teknik som kallas DLL sideloading, där en skadlig DLL laddas samtidigt som en legitim programvara körs. Applikationer som Java, Krita, NVDA, LINE och Sysinternals utilities har bland annat använts i attackerna.
En central del av taktikerna är användningen av Sandboxie, ett program som är designat för att köra applikationer i en isolerad miljö. Operatörerna placerar en legitima Sandboxie-fil bredvid den skadliga DLL:n, och laddar den när den legitima programvaran startas. Det är viktigt att notera att Sophos inte rapporterar några komprometteringar av Sandboxies officiella webbplats eller nedladdningskällor.
De krypterade backdoors, versionerna 1.1.5 och 1.1.7, är baserade på en modifierad Meterpreter-arkitektur med skräddarsydd laddningsbeteende. När de körs samlar de in information om värdmaskiner och processer, och kommunicerar med kontrollservrar. Version 1.1.7 kunde även hämta krypterade konfigurationsfiler från GitHub-repositorier.
Efter att ha fått tillgång till ett system fortsatte operatörerna att undersöka nätverk och användarkonton. Forskarna upptäckte att de skapade Windows Volume Shadow Copies och kopierade ntds.dit, Active Directory-databasen som innehåller information om domänkonton och lösenords-hashar. Detta indikerar en allvarlig risk för datastöld och potentiella säkerhetsbrister.
Trots att andra grupperingar, inklusive BRONZE PRESIDENT (aka HoneyMate och Mustang Panda), riktar in sig på liknande geografiska områden, lyckades Sophos inte etablera en tillförlitlig koppling mellan deras aktiviteter och BRONZE SANDCASTLE. Den upprepade användningen av Sandboxie som en del av deras taktik var en nyckelfaktor som hjälpte forskarna att differentiera gruppens operationer. För att skydda sig bör organisationer granska vilka applikationer de laddar och kör, samt var uppmärksam på oväntade bibliotek och krypterade filer, följt av aktivitet i minnet. Att bara lita på ett programvarans namn eller dess ursprung är inte tillräckligt för att kontrollera de komponenter det kan lansera.