گزارش‌های فنی از فعالیت‌های گروه تهدید احتمالی مستقر در چین با نام BRONZE SANDCASTLE حکایت دارد که از بک‌دورهای (Backdoors) مخفی در ویندوز برای نفوذ و سرقت پایگاه داده Active Directory استفاده می‌کند. این گروه با ترکیب برنامه‌های قانونی، فایل‌های مخرب DLL و محموله‌های رمزنگاری‌شده (Encrypted Payloads)، کد خود را درون فرآیندهای مورد اعتماد (Trusted Processes) اجرا می‌کند تا ردپای خود را از اسکنرهای فایل سنتی پنهان کند.
تکنیک‌های نفوذ و DLL Sideloading
مهم‌ترین امضای فنی این گروه، سوءاستفاده مکرر از فایل‌های اجرایی Sandboxie برای بارگذاری یک فایل مخرب به نام sbiedll.dll است. مهاجمان با قرار دادن این فایل در کنار برنامه‌های اصلی، از تکنیک DLL Sideloading برای اجرای کدهای مخرب از طریق برنامه‌های مورد اعتماد استفاده می‌کنند. علاوه بر Sandboxie، برنامه‌های دیگری مانند Java، Krita، NVDA، LINE و ابزارهای Microsoft Sysinternals نیز مورد سوءاستفاده قرار گرفته‌اند.
پیچیدگی فنی و فرار از شناسایی
تحلیل‌ها نشان می‌دهد که این گروه از یک ماشین حالت مجازی‌سازی شده (Virtualized State Machine) با جریان کنترل مسطح (Flattened Control Flow) استفاده می‌کند. این ساختار پیچیده، بازسازی مسیر اجرای لودر را برای تحلیل‌گران بسیار دشوار می‌کند. همچنین، این گروه از قابلیت‌های Reflective Loading برای بارگذاری مستقیم فایل‌های اجرایی در حافظه (Memory) استفاده می‌کند تا از ذخیره فایل‌های مخرب روی دیسک جلوگیری کند.
هدف نهایی: سرقت هویت‌های شبکه
پس از استقرار در شبکه، عاملان تهدید با استفاده از دستورات ویندوز، حساب‌ها و منابع شبکه را شناسایی کرده و با استفاده از ابزار vssadmin.exe، از Volume Shadow Copies استفاده می‌کنند. هدف نهایی آن‌ها کپی کردن فایل ntds.dit است؛ پایگاه داده حیاتی Active Directory که حاوی اطلاعات حساس هویت‌های دامنه (Domain Identities) می‌باشد.
توصیه‌های امنیتی برای تیم‌های SOC
- مانیتورینگ بارگذاری DLL: نظارت دقیق بر بارگذاری فایل‌های DLL مشکوک توسط برنامه‌های مورد اعتماد.
- بررسی فعالیت‌های Shadow Copy: شناسایی هرگونه ایجاد غیرعادی از Volume Shadow Copies.
- تحلیل حافظه: بررسی ساختارهای اجرایی غیرعادی در حافظه که نشان‌دهنده تکنیک‌های Reflective Loading هستند.
- کنترل اپلیکیشن: استفاده از Application Controls برای محدود کردن بارگذاری کتابخانه‌ها از دایرکتوری‌های غیرمعمول.
به‌روزرسانی (اکتبر 21, 2026 — hackread.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که گروه هکری BRONZE SANDCASTLE از تکنیک DLL Sideloading برای سوءاستفاده از نرم‌افزارهای معتبر جهت بارگذاری بک‌دورهای (Backdoor) رمزگذاری‌شده استفاده می‌کند. علاوه بر Sandboxie، این گروه از برنامه‌هایی نظیر Java، Krita، NVDA، LINE و ابزارهای Sysinternals برای اجرای کدهای مخرب خود بهره می‌برد.
این مهاجمان از یک بک‌دور تغییریافته مبتنی بر Meterpreter (نسخه‌های 1.1.5 و 1.1.7) استفاده می‌کنند. این بدافزار با خواندن فایل config.ini، محتوای رمزگذاری‌شده خود را رمزگشایی کرده و مستقیماً در حافظه (Memory) اجرا می‌کند تا از شناسایی توسط اسکنرهای فایل فرار کند. همچنین، نسخه 1.1.7 این بک‌دور قادر است فایل‌های پیکربندی رمزگذاری‌شده را از مخازن GitHub دریافت کند.
هدف نهایی این حملات، نفوذ به شبکه و سرقت فایل ntds.dit است که پایگاه داده Active Directory و حاوی هش پسوردها و اطلاعات حساس حساب‌های دامنه می‌باشد. قربانیان این حملات در کشورهایی از جمله فیلیپین، تایوان، افغانستان، نامیبیا و کره جنوبی شناسایی شده‌اند.
