En kinesisk hackargrupp kapar legitima Windows-program för att installera krypterade bakdörrar och stjäla Active Directory-data. Det avslöjar säkerhetsföretaget Sophos i en ny rapport om hotgruppen BRONZE SANDCASTLE.

Attackerna har pågått sedan minst augusti 2025 och riktar sig mot organisationer i Filippinerna, Taiwan, Afghanistan, Namibia och troligen Sydkorea.

Så fungerar attacken

BRONZE SANDCASTLEs signatur är så kallad DLL sideloading via Sandboxie, ett legitimt Windows-sandboxingverktyg. Angriparna placerar en skadlig fil med namnet sbiedll.dll bredvid ett äkta Sandboxie-program. När programmet startar laddar det den skadliga koden istället för den riktiga biblioteksfilen.

Tekniken är effektiv eftersom säkerhetsverktyg som kollar om ett program är signerat och legitimt inte direkt ser att den sidoladdade DLL-filen är skadlig. Gruppen använder nio olika program-DLL-kombinationer för att variera sin metod, bland annat via Java, Krita och Sysinternals-verktyg.

När bakdörren är aktiv skickar den systeminformation, processlista, intern och extern IP-adress och domännamn till angriparens server. Gruppen använder GitHub-repositorier och legitima fildelingstjänster som file.io för att ta emot kommandon och ladda hem krypterade konfigurationsfiler.

Stjäl Active Directory

Det allvarligaste i rapporten är att BRONZE SANDCASTLE aktivt kopierar filen ntds.dit, Active Directorys centrala databas. Den innehåller hashade lösenord, gruppolicyer och domänkonfigurationer för hela organisationen. Med ntds.dit i hand kan angripare knäcka lösenord och ta full kontroll.

Vad betyder det för svenska företag?

Active Directory används i majoriteten av svenska företagsmiljöer. En komprometterad ntds.dit-fil är i praktiken ett totalt intrång: angriparen kan autentisera sig som vilken användare som helst, inklusive domänadministratörer.

Rekommenderade åtgärder:

• Aktivera loggning och larm för vssadmin.exe-anrop, som används för att komma åt ntds.dit
• Övervaka DLL-laddningar från kataloger utanför System32
• Begränsa exekvering av legitima tredjepartsprogram (Sandboxie, Java, Krita) i servermiljöer om de inte behövs

Sophos har publicerat indikatorer för kompromiss (IoC) i sin rapport och rekommenderar att organisationer söker igenom sina miljöer efter de nio identifierade DLL-kombinationerna.

Källa: Sophos X-Ops