Beveiligingsbedrijf Sophos heeft een voorheen onbekende, aan China gelieerde dreigingsgroep in kaart gebracht die sinds medio 2025 organisaties in Azië en Afrika aanvalt. Onderzoeker Gabor Szappanos doopte het cluster Bronze Sandcastle. Tussen augustus 2025 en augustus 2026 vond Sophos slachtoffers op de Filipijnen, in Taiwan, Afghanistan en Namibië, en vermoedelijk ook in Zuid-Korea; een groot deel van de activiteit valt binnen de tijdzone UTC+8.
Het meest kenmerkende technische spoor van de groep is het misbruik van Sandboxie, een legitieme en gratis sandboxtool. De aanvallers plaatsen een echt Sandboxie-programma op het slachtoffersysteem, samen met een eigen kwaadaardige versie van de bijbehorende bibliotheek sbiedll.dll. Zodra het legitieme onderdeel SandboxieWUAU.exe opstart, laadt het automatisch die vervalste dll en krijgt de aanvaller code-uitvoering: een klassieke DLL-sideloadingtechniek die weinig sporen achterlaat omdat er geen apart kwaadaardig programma hoeft te draaien. Naast Sandboxie gebruikt Bronze Sandcastle minstens zeven andere combinaties van legitieme software en dll’s als dekmantel, waaronder Java, Krita, de schermlezer NVDA, Sysinternals-tools en LINE.
De uiteindelijke lading zit versleuteld in een bestand genaamd config.ini, dat de gesideloade dll decodeert en in het geheugen uitvoert. Sophos zag twee versies, 1.1.5 en 1.1.7. De backdoor brengt lokale netwerken en gebruikersaccounts in kaart en verzamelt systeeminformatie, actieve processen, toetsaanslagen en schermafbeeldingen. Voor de aansturing gebruikte versie 1.1.5 twee eigen domeinen, dc.cathaypacifice[.]com en net.dpworldto[.]com, naast publieke bestandsdiensten als file.io, gofile.io en Ably. Versie 1.1.7 haalde versleutelde configuratiebestanden op via een GitHub-account dat inmiddels niet meer bereikbaar is.
Sophos wijst erop dat de truc zelf niet nieuw is: de Chinese groep APT41 gebruikte in juli 2024 al een ondertekend Sandboxie-programma, taskhost.exe, om een vergelijkbare kwaadaardige sbiedll.dll te laden, als onderdeel van de backdoor MoonWalk. Bronze Sandcastle lijkt dezelfde truc nu zelfstandig en breder te hebben opgepikt.
Voor Nederlandse organisaties met vestigingen, klanten of toeleveranciers in Azië of Afrika is dit een concrete reden om uitgaand verkeer vanaf systemen waarop Sandboxie, Java, Krita of vergelijkbare tools draaien goed te monitoren, zeker richting bestandsdiensten als file.io of gofile.io die zelden een zakelijke reden hebben. Beveiligingsteams doen er goed aan te controleren of bekende, legitieme uitvoerbare bestanden wel de officiële, ondertekende dll’s laden en niet een onbekende variant uit een niet-standaardmap.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Heeft uw organisatie vestigingen, klanten of toeleveranciers in Azië of Afrika? Controleer dan of legitieme tools als Sandboxie, Java of Krita wel hun officiële, ondertekende DLL's laden, en houd verkeer naar bestandsdiensten als file.io en gofile.io vanaf bedrijfskritische systemen extra in de gaten.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.