Onderzoekers waarschuwen voor een voorheen onbekend dreigingscluster dat ze Bronze Sandcastle noemen. Deze China-aligned groep richt zich al sinds mid-2025 op organisaties in delen van Azië en Afrika, met waargenomen slachtoffers in onder meer de Filipijnen, Taiwan en Afghanistan. De techniek die het meest opvalt? Sandboxie DLL-sideloading: een methode waarmee aanvallers via het normale DLL-laadgedrag van Windows kwaadaardige code laten uitvoeren door een vertrouwd programma.
In dit artikel leggen we uit hoe die aanval werkt, welke artefacten onderzoekers aantroffen en welke detectie- en mitigatiestappen je vandaag nog kunt meenemen.
Wat is Bronze Sandcastle?
Bronze Sandcastle is een dreigingscluster met een consistente “technische vingerafdruk”. Volgens Sophos is het opvallendste kenmerk het herhaald inzetten van Sandboxie DLL-sideloading. De activiteit is tussen augustus 2025 en augustus 2026 zichtbaar geweest in meerdere landen, en lijkt het sterkst actief in de UTC+8 tijdzone.
Het cluster gebruikt daarbij constructies die draaien op Windows-gedrag: wanneer een applicatie DLL’s moet laden, kan Windows zoeken in mappen volgens een vaste volgorde. Juist die volgorde benutten aanvallers.
Hoe werkt Sandboxie DLL-sideloading in de praktijk?
DLL-sideloading is een adversarial techniek. Simpel gezegd: een aanvaller “plaatst” een kwaadaardige DLL met dezelfde bestandsnaam als een legitieme DLL, in een locatie waar Windows eerst naar kijkt. Zodra de echte toepassing opstart, laadt Windows dan per ongeluk de kwaadaardige versie.
Bronze Sandcastle combineert dit met het gebruik van Sandboxie-componenten. In de waarnemingen van Sophos werd in meerdere slachtofferomgevingen een legitieme Sandboxie-executable aangetroffen, samen met een kwaadaardige DLL met de naam sbiedll.dll. Daardoor laadt de vertrouwde Sandboxie-component SandboxieWUAU.exe tijdens runtime aanvallerspecifieke code.
Waarom is dit lastig te detecteren?
Onderzoeksanalyses geven drie redenen waarom deze aanpak verdedigingsmaatregelen kan omzeilen.
- Benign ogende uitvoering: de code draait onder de vlag van een programma dat vertrouwd of digitaal ondertekend kan zijn.
- Geprivilegieerde context: als de legitieme toepassing met hogere rechten draait, erft de kwaadaardige DLL die rechten.
- Persistance mogelijk: als de aangetaste toepassing is ingericht om automatisch te starten na een reboot, kan de backdoor terugkomen.
Dat maakt Sandboxie DLL-sideloading niet alleen een installatietechniek, maar ook een route naar blijvende toegang.
Meer varianten dan alleen Sandboxie
Hoewel Sophos het “distinctive marker” noemt, bleef het cluster niet bij Sandboxie. In zeven andere combinaties is DLL-sideloading gezien waarbij een legitiem uitvoerbaar bestand wordt gekoppeld aan een specifieke, misbruikte DLL-naam. Voorbeelden uit de analyse:
- javaw.exe → jli.dll
- Krita.exe → Krita.dll
- NvdaHelper.exe → NvdaHelperRemote.dll
- Jcef_helper.exe → Libcef.dll
- Vmmap.exe → version.dll
- LineAppMgr.exe → msvcp140.dll
- bginfo64.exe → snmpapi.dll
Deze variatie onderstreept het punt: organisaties moeten niet alleen zoeken naar één specifieke toepassing, maar ook naar het gedragspatroon rond DLL-laden en de daaropvolgende uitvoering.
Van encrypted config naar backdoorfunctionaliteit
Volgens Sophos lezen en executen de sideloaded DLL’s payloads die zijn opgeslagen in versleutelde config.ini-bestanden. Dit ontwerp maakt statische detectie lastig: er hoeft niet meteen een duidelijk uitvoerbaar bestand op disk te verschijnen, en operators kunnen gedrag aanpassen zonder de DLL’s opnieuw te vervangen.
In de waarnemingen zijn twee payloadversies geïdentificeerd: 1.1.5 en 1.1.7. Waar die backdoor precies voor wordt gebruikt, komt neer op het verzamelen en aansturen van informatie op de besmette host.
Wat doet de payload?
De backdoorfunctionaliteit omvat onder meer:
- het opsommen van lokale netwerk- en gebruikersaccounts;
- het verzamelen van systeemmetadata en actieve processen;
- het vastleggen van toetsenbordactiviteit (keystrokes);
- het maken van screenshot.
In plaats van extra schijfartefacten kan de uitvoering in het geheugen plaatsvinden. Dat sluit aan bij de observatie dat er vaker in-memory shellcode-activiteit wordt gezien dan “klassieke” drop-activiteiten.
C2-communicatie: van filehosts tot GitHub
De payload’s blijken daarnaast externe locaties te benaderen om informatie te delen of extra instructies te krijgen. Sophos noemt bijvoorbeeld domeinen zoals file.io, gofile.io, ably.net en ably.io.
Ook is er verschil tussen versies:
- Versie 1.1.5 gebruikte waargenomen domeinen voor command-and-control, waaronder dc.cathaypacifice[.]com en net.dpworldto[.]com.
- Versie 1.1.7 communiceerde via de API met GitHub-repositories (o.a. github[.]com/LatonyCharnleyaW) om versleutelde configbestanden te downloaden. Het GitHub-account was niet langer toegankelijk.
Voor defenders betekent dit dat je detectiebeleid niet alleen op “bestanden” baseert, maar ook kijkt naar netwerkgedrag dat past bij stagering, ophalen en decoderen.
Signalen om op te letten (gedrag boven bestandsnamen)
Sophos benadrukt dat statische file-based detecties beperkt kunnen werken, juist omdat payloads en configuraties runtime worden gedecodeerd. In plaats daarvan ligt de focus op gedragsindicatoren, zoals:
- DLL’s die lokale bestanden lezen en daaropvolgend direct in-memory uitvoering triggeren;
- het kort na elkaar plaatsvinden van staging, decoding en uitvoering (zonder duidelijke “disk footprint”);
- verdachte runtime-activiteit rond Windows DLL-laadvolgorde (zoals onverwachte DLL-locaties of mismatch tussen verwachte en geladen modules).
Een praktisch aandachtspunt: als een “legitiem” proces DLL’s laadt die niet passen bij de normale installatie van die applicatie, is dat een sterke aanleiding om verder te onderzoeken.
Wat kun je nu doen? Concrete mitigaties
Als je organisatie risico wil beperken rond Sandboxie DLL-sideloading en vergelijkbare DLL-aanvallen, helpt het om op drie niveaus te werken: preventie, detectie en respons.
1) Preventie en hardening
- Beperk waar mogelijk het gebruik van tools die hoog in de applicatieketen zitten (of monitor extra streng wanneer ze draaien met verhoogde rechten).
- Controleer of automatische opstartmechanismen (waarmee legitieme tools bij elke reboot starten) niet onnodig risico introduceren.
2) Detectie uitbreiden op Windows-gedrag
- Leg detectieregels vast voor “DLL geladen → direct in-memory uitvoering” patronen.
- Combineer EDR/telemetrie met netwerkobservaties, zodat je C2-achtige verbindingen kunt relateren aan verdachte host-activiteiten.
- Werk je allowlists en module-verwachtingen bij voor applicaties die in deze keten passen (zoals Sandboxie-onderdelen en de andere genoemde uitvoerbare bestanden).
3) Respons: triage en containment
- Onderzoek op betrokken hosts of er ongebruikelijke DLL-namen of DLL-locaties zijn die afwijken van de normale configuratie.
- Als je verdachte in-memory activiteit ziet, behandel de host als mogelijk gecompromitteerd en voer forensisch onderzoek uit vóór je opschoont.
- Check daarnaast of er laterale signalen zijn (bijvoorbeeld extra accounts of interne discovery die past bij de beschreven backdoor).
Relatie met eerder gerapporteerde ClickFix en in-memory trucs
Deze casus past in een bredere trend waarin aanvallers draaien op misleiding en runtime gedrag. Als je vooral geïnteresseerd bent in hoe browsers en beveiligingsmechanismen misbruikpogingen afremmen, kan je ook kijken naar eerdere waarschuwingen rond ClickFix-aanvallen en Chrome-bescherming. En wanneer je wilt begrijpen hoe aanvallen gericht zijn op snelle runtime uitvoering en het omzeilen van klassieke statische detectie, kan een bredere blik op AI-gestuurde of gemanipuleerde dreigingen helpen om je responseproces te scherpen (ook al gaat dat artikel over een ander type dreiging).
Conclusie
Sandboxie DLL-sideloading is in de waarnemingen van Sophos een centraal onderdeel van Bronze Sandcastle. Door kwaadaardige DLL’s in de juiste zoekvolgorde te plaatsen, kan een aanvaller code laten uitvoeren onder een vertrouwde context, vaak met mogelijkheden richting meer rechten, persistence en uitgebreide spionageactiviteiten. De kern voor defenders is helder: vertrouw niet alleen op statische bestandsdetectie, maar richt je vooral op gedragsindicatoren zoals DLL-lezing gevolgd door in-memory uitvoering en koppeling aan netwerkgedrag.
Heb je EDR en logging goed ingericht met dat soort signalen? Dan sta je veel sterker in de strijd tegen dit soort “living off the land”-achtige aanvallen.
Bron: https://thehackernews.com/2026/10/china-aligned-bronze-sandcastle-abuses.html
