C
月内に
脅威アクター「Bronze Sandcastle」が、Sandboxieなどの正規ソフトウェアを悪用したDLLサイドローディング攻撃を展開していること
📌 一言でいうと
脅威アクター「Bronze Sandcastle」が、Sandboxieなどの正規ソフトウェアを悪用したDLLサイドローディング攻撃を展開していることが判明しました。この手法により、メモリ上で動作するMeterpreter類似のバックドアをインストールし、機密情報の窃取やキーログ、スクリーンショットの取得を行います。主にアジアとアフリカの組織が標的となっており、GitHubなどの一般サービスをC2通信に利用する傾向があります。
🔍該当判定
- 社内で『Sandboxie』というソフトをインストールして利用している
- 社内で『Krita』や『NVDA』などのオープンソースソフトをインストールして利用している
- 社内で『Sysinternals』などのシステム管理ツールをインストールして利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
信頼できないソースからのソフトウェアインストールを禁止し、SandboxieやSysinternalsなどのツールが不審なディレクトリから実行されていないか監視してください。また、不審なDLLファイルの作成や、GitHub等への異常な通信を検知するEDR/SIEMのルール設定を推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Bronze Sandcastle による DLL Sideloading 攻撃について
お疲れさまです。脅威アクター Bronze Sandcastle の活動に関する情報共有です。
■ 概要
正規ソフトウェア（Sandboxie, Java, Krita, NVDA, Sysinternals等）を悪用し、悪意のあるDLLを読み込ませる「DLL Sideloading」を用いてバックドアを設置する攻撃が観測されています。ペイロードはメモリ上で動作し、Meterpreterに類似した機能（情報収集、キーログ、画面キャプチャ）を備えています。
■ 影響範囲
- Sandboxie 等のツールを利用している Windows 環境
- 主にアジア・アフリカ地域の組織が標的
■ 対応手順
1. 信頼されていないディレクトリからの Sandboxie や Sysinternals ツールの実行を監視・制限する。
2. 実行ファイルと同ディレクトリに不審な DLL（例: sbiedll.dll の偽装）が存在しないか確認する。
3. GitHub 等の一般サービスへの不審な通信（C2通信）を監視する。
■ 参考情報
- Sophos Threat Intelligence
対応優先度: 中
対応期限: 随時
お疲れさまです。脅威アクター Bronze Sandcastle の活動に関する情報共有です。
■ 概要
正規ソフトウェア（Sandboxie, Java, Krita, NVDA, Sysinternals等）を悪用し、悪意のあるDLLを読み込ませる「DLL Sideloading」を用いてバックドアを設置する攻撃が観測されています。ペイロードはメモリ上で動作し、Meterpreterに類似した機能（情報収集、キーログ、画面キャプチャ）を備えています。
■ 影響範囲
- Sandboxie 等のツールを利用している Windows 環境
- 主にアジア・アフリカ地域の組織が標的
■ 対応手順
1. 信頼されていないディレクトリからの Sandboxie や Sysinternals ツールの実行を監視・制限する。
2. 実行ファイルと同ディレクトリに不審な DLL（例: sbiedll.dll の偽装）が存在しないか確認する。
3. GitHub 等の一般サービスへの不審な通信（C2通信）を監視する。
■ 参考情報
- Sophos Threat Intelligence
対応優先度: 中
対応期限: 随時
Subject: [Intel] DLL Sideloading Campaign by Bronze Sandcastle
Dear Team,
We are sharing intelligence regarding the threat actor Bronze Sandcastle.
■ Overview
The actor is employing DLL Sideloading techniques using legitimate applications such as Sandboxie, Java, Krita, NVDA, and Sysinternals tools. By loading a malicious DLL (e.g., sbiedll.dll), they deploy a Meterpreter-like backdoor in memory to avoid detection, enabling system reconnaissance, keylogging, and data exfiltration.
■ Scope
- Windows environments utilizing the aforementioned legitimate tools.
- Primarily targeting organizations in Asia and Africa.
■ Recommended Actions
1. Monitor for the execution of administrative tools (Sysinternals, etc.) from unusual or non-standard directories.
2. Audit for the presence of unexpected DLLs in application folders.
3. Monitor network traffic to common online services (e.g., GitHub) for potential C2 configuration downloads.
■ Reference
- Sophos Threat Intelligence
Priority: Medium
Deadline: Ongoing
Dear Team,
We are sharing intelligence regarding the threat actor Bronze Sandcastle.
■ Overview
The actor is employing DLL Sideloading techniques using legitimate applications such as Sandboxie, Java, Krita, NVDA, and Sysinternals tools. By loading a malicious DLL (e.g., sbiedll.dll), they deploy a Meterpreter-like backdoor in memory to avoid detection, enabling system reconnaissance, keylogging, and data exfiltration.
■ Scope
- Windows environments utilizing the aforementioned legitimate tools.
- Primarily targeting organizations in Asia and Africa.
■ Recommended Actions
1. Monitor for the execution of administrative tools (Sysinternals, etc.) from unusual or non-standard directories.
2. Audit for the presence of unexpected DLLs in application folders.
3. Monitor network traffic to common online services (e.g., GitHub) for potential C2 configuration downloads.
■ Reference
- Sophos Threat Intelligence
Priority: Medium
Deadline: Ongoing