Onderzoekers hebben geavanceerde cyberaanvallen ontdekt waarbij groepen die banden hebben met China, waaronder BRONZE SANDCASTLE, legitieme Windows-applicaties gebruiken om verborgen toegang tot systemen te verkrijgen. Deze methoden stellen aanvallers in staat om systeeminformatie te verzamelen en inloggegevens te stelen.

De aanvallers plaatsen kwaadaardige bestanden naast vertrouwde programma's zoals Sandboxie, Java, Krita, NVDA, LINE en Microsoft Sysinternals. Door legitieme software in een aanvalsreeks op te nemen, kunnen de aanvaller gecontroleerde code uitvoeren zonder de originele applicaties te wijzigen. Dit proces maakt gebruik van technieken zoals Sandboxie DLL sideloading, waarbij een kwaadaardige bibliotheek naast een legitiem Sandboxie-programma wordt geplaatst. Bij het opstarten laadt de vertrouwde applicatie de malafide bibliotheek, waardoor de uitvoering wordt overgedragen aan de aanvallers. Hernoemde uitvoerbare bestanden helpen de kwaadaardige componenten op te gaan in de getroffen systemen.

De kwaadaardige bibliotheken lezen doorgaans een versleutelde payload uit een lokaal configuratiebestand. Deze payload wordt vervolgens gedecodeerd en in het geheugen uitgevoerd. Dit scheidt de zichtbare applicatie van de verborgen backdoor, waardoor aanvallers het gedrag van de payload kunnen aanpassen zonder de ladende bibliotheek te hoeven vervangen. De gedecodeerde backdoor gebruikt een "reflective loader" die een ingebed Windows-programma in het geheugen plaatst. De structuur van deze loader vertoont overeenkomsten met Metasploit shellcode, maar is aangepast met specifieke functieresolutieroutines en een grotere codebase. Elementen van COFFLoader duiden op aangepaste functionaliteit voor post-exploitatie activiteiten. Eerdere ShadowPad DLL sideloading-campagnes toonden al een vergelijkbare structuur met een legitiem programma, een kwaadaardige bibliotheek en een versleutelde payload.

De backdoor stuurt gestructureerde JSON-berichten naar een controle-server. Deze berichten bevatten onder andere informatie zoals de computernaam, gebruikersnaam, domeingegevens, besturingssysteemversie, interne en externe IP-adressen, procesinformatie, werkdirectory, processortype en opstarttijd. Onderzoekers hebben payloadversies 1.1.5 en 1.1.7 geïdentificeerd. Versie 1.1.5 communiceerde met specifieke controle-domeinen, terwijl versie 1.1.7 versleutelde configuratiebestanden downloadde via GitHub.

Na het verkrijgen van toegang, gebruikten de aanvallers Windows-netwerkopdrachten om accounts en lokale netwerken te inspecteren. Volume Shadow Copies werden aangemaakt voordat de Active Directory-database werd gekopieerd. Dit verbindt de externe toegang via de backdoor met pogingen om gevoelige domein-inloggegevens te bemachtigen. Eerder misbruik van Windows Shadow Copy benadrukt het belang van deze methode, aangezien snapshots beschermde database-inhoud kunnen onthullen. Legitieme bestandsdeling- en berichtenplatforms werden mogelijk ook gebruikt voor operatorinstructies.

De technische analyse beschrijft aanvallen die plaatsvonden tussen augustus 2025 en augustus 2026. De getroffen landen zijn de Filipijnen, Taiwan, Afghanistan en Namibië, met waarschijnlijke betrokkenheid van Zuid-Korea. Onderzoekers van Sophos’ Counter Threat Unit en SophosLabs identificeerden de malware tijdens incidentenonderzoeken in Azië en Afrika. Sophos volgt BRONZE SANDCASTLE apart, omdat de waargenomen activiteit niet betrouwbaar kon worden gekoppeld aan eerdere groepen als BRONZE PRESIDENT of BRONZE ATLAS.

Om verdedigingen te versterken, wordt aangeraden om systemen te updaten tegen nieuwe malware zodra deze verschijnt. Gedrags- en geheugenmonitoring zijn essentieel omdat versleutelde payloads statische bestanddetectie kunnen omzeilen. Sophos adviseert om bibliotheken te detecteren die lokale bestanden lezen en direct code in het geheugen uitvoeren, samen met ongebruikelijke uitvoerbare headers en reflectieve laadmethoden.