Çin bağlantılı Bronze Sandcastle, Sandboxie üzerinden arka kapı yerleştiriyor

Sophos, daha önce belgelenmemiş ve Çin'le bağlantılı olduğu değerlendirilen Bronze Sandcastle adlı tehdit kümesini açıkladı. The Hacker News'in 21 Ekim'de aktardığına göre grup, Sandboxie korumalı alan aracı ve diğer meşru uygulamalar üzerinden DLL yan yükleme (sideloading) tekniğini kullanarak Asya ve Afrika'daki kurumlara arka kapı yerleştiriyor. Sophos araştırmacısı Gabor Szappanos'a göre grup 2025 ortasından beri aktif ve zararlı yazılımını antivirüs tespitinden kaçırmak için güvenilir, kimi zaman dijital olarak imzalı yürütülebilir dosyaların arkasına saklıyor.

Neler oldu?

The Hacker News'e göre Sophos, Ağustos 2025 ile Ağustos 2026 arasında Filipinler, Tayvan, Afganistan, Namibya ve muhtemelen Güney Kore'de Bronze Sandcastle mağdurları tespit etti. Operatörler en çok UTC+8 saat diliminde aktifti. Sophos etkinliği bilinen bir gruba bağlamadı; ancak haberde APT41'in Temmuz 2024'te MoonWalk arka kapısını yaymak için benzer bir Sandboxie tekniği kullandığı hatırlatılıyor.

Teknik detaylar

DLL yan yükleme (MITRE ATT&CK T1574.001), meşru bir uygulamanın yüklemeyi beklediği bir ada sahip zararlı bir DLL'in sisteme bırakılmasına dayanıyor. Sophos, Sandboxie üzerinden yan yüklemeyi grubun en ayırt edici teknik izi olarak tanımlıyor: meşru Sandboxie dosyalarının yanında zararlı bir sbiedll.dll bulundu ve bu dosya güvenilir SandboxieWUAU.exe aracılığıyla saldırgan kodunu çalıştırdı.

Araştırmacılar ayrıca javaw.exe ile jli.dll, Krita.exe ile Krita.dll, NvdaHelper.exe ile NvdaHelperRemote.dll, Vmmap.exe ile version.dll ve bginfo64.exe ile snmpapi.dll dahil yedi farklı uygulama ve DLL çifti gözlemledi. Her durumda yan yüklenen DLL şifreli bir config.ini dosyasını okuyup içerdiği yükü bellekte çalıştırıyor. Bu yöntem statik tespiti zorlaştırıyor ve operatörlerin DLL'i değiştirmeden davranışı güncellemesine imkân veriyor.

1.1.5 ve 1.1.7 sürümleri görülen arka kapı; ağ ve kullanıcı hesaplarını listeliyor, sistem bilgisi ile çalışan süreçleri topluyor, tuş vuruşlarını ve ekran görüntülerini kaydediyor. Habere göre 1.1.5 sürümü dc.cathaypacifice[.]com ve net.dpworldto[.]com komuta-kontrol alan adlarını kullandı; 1.1.7 sürümü ise şifreli yapılandırma dosyalarını GitHub API'si aracılığıyla artık erişilemeyen bir hesaptan indirdi. Zararlı yazılım muhtemelen görev almak için file[.]io, gofile[.]io ve ably[.]io gibi hizmetlerle de iletişim kurdu.

Kimler etkileniyor?

Kampanya Asya ve Afrika'daki kurumları hedef alıyor. Teknik yaygın kullanılan meşru yazılımlara dayandığı için diğer bölgelerdeki güvenlik ekipleri de aynı göstergelerle benzer yan yükleme etkinliklerini araştırabilir.

Ne yapmalı?

• Sophos, yükler ve yapılandırmalar çalışma anında çözüldüğü için statik dosya imzaları yerine davranışsal göstergelere öncelik verilmesini öneriyor.
• Yerel bir dosyayı okuyup hemen bellekte kod çalıştıran DLL'leri izleyin; bu durum şifre çözme ve hazırlık aşamasına işaret edebilir.
• SandboxieWUAU.exe gibi meşru dosyaların olağan dışı dizinlerden, beklenmedik DLL veya config.ini dosyalarıyla birlikte çalışıp çalışmadığını kontrol edin.
• Yukarıdaki alan adlarını engelleyin ve kayıtlarda arayın.