Odkryto nową grupę cyberprzestępczą o nazwie Bronze Sandcastle, która od połowy 2025 roku atakuje organizacje w Azji i Afryce. Charakterystyczną cechą ich działań jest wykorzystywanie techniki DLL sideloading, co pozwala na uruchamianie złośliwego kodu poprzez zaufane i podpisane cyfrowo aplikacje.
Atakujący najczęściej wykorzystują pliki wykonywalne programu Sandboxie, zmuszając je do wczytania złośliwej biblioteki sbiedll.dll. Grupa stosuje tę metodę również w przypadku innych programów, takich jak Java, Krita czy narzędzia z pakietu Sysinternals. Dzięki temu złośliwy kod może przejąć uprawnienia legalnej aplikacji, co utrudnia wykrycie przez programy antywirusowe.
Payloady grupy służą do zbierania metadanych systemu, przechwytywania znaków z klawiatury oraz robienia zrzutów ekranu. Złośliwe pliki komunikują się z serwerami C2 oraz wykorzystują platformę GitHub do pobierania zasobów. Całość operacji odbywa się często bezpośrednio w pamięci RAM, co minimalizuje ślady na dysku.
Aby skutecznie się bronić, organizacje powinny skupić się na monitorowaniu zachowań systemowych zamiast polegać wyłącznie na skanowaniu plików. Kluczowym sygnałem ostrzegawczym jest sytuacja, w której biblioteka DLL odczytuje lokalne pliki konfiguracyjne, a następnie natychmiast wykonuje kod bezpośrednio w pamięci operacyjnej.
