Sophos披露BRONZE SANDCASTLE滥用合法程序侧加载后门

Sophos CTU 与 Sophos Labs 披露，攻击组织 BRONZE SANDCASTLE 利用 Sandboxie、Java、Krita、NVDA、LINE 和 Sysinternals 工具等合法 Windows 程序进行 DLL 侧加载，投递加密后门、收集系统信息并窃取 Active Directory 数据。 研究人员追踪到该组织在 2025 年 8 月至 2026 年 8 月间的活动，受害地点包括菲律宾、台湾、阿富汗和纳米比亚，韩国也被视为可能的受害地点。其手法之一是将合法的 Sandboxie 可执行文件与恶意 DLL 放在一起，程序启动时加载该 DLL；研究未报告 Sandboxie 网站或官方下载渠道遭入侵。研究人员还观察到该组织创建 Windows 卷影副本并复制 ntds.dit，即包含域账户信息和密码哈希的 Active Directory 数据库。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。