Bronze Sandcastle กลุ่มสายจีนกลุ่มใหม่ใช้ DLL sideloading ผ่าน Sandboxie ฝังแบ็กดอร์ — เหยื่อในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน และนามิเบีย

สรุปสั้น

บริษัท Sophos เปิดเผยรายละเอียดของ Bronze Sandcastle กลุ่มภัยคุกคามที่สอดคล้องกับผลประโยชน์ของจีน (China-aligned) ซึ่งไม่เคยมีการบันทึกมาก่อน กลุ่มนี้โจมตีองค์กรในเอเชียและแอฟริกาตั้งแต่กลางปี 2568 ระหว่างเดือนสิงหาคม 2568 ถึงสิงหาคม 2569 มีเหยื่ออยู่ในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน นามิเบีย และน่าจะรวมถึงเกาหลีใต้ หลักฐานชี้ว่ากลุ่มนี้ทำงานมากที่สุดในเขตเวลา UTC+8 นาย Gabor Szappanos นักวิจัยของ Sophos ระบุว่าเครื่องหมายทางเทคนิคที่โดดเด่นที่สุดของกลุ่มคือการใช้ DLL sideloading ผ่านโปรแกรม Sandboxie อย่างสม่ำเสมอ

ผู้โจมตีวางไฟล์ปฏิบัติการของ Sandboxie ที่ถูกต้องตามกฎหมายไว้คู่กับไฟล์ sbiedll.dll ที่เป็นอันตราย เมื่อ SandboxieWUAU.exe ทำงานก็จะโหลดโค้ดของผู้โจมตีขึ้นมา นอกจากนี้ยังใช้คู่โปรแกรม-DLL อีก 7 แบบ รวมถึงตัวจัดการแอป LINE, Krita, NVDA และเครื่องมือ Sysinternals DLL ที่ถูกโหลดจะถอดรหัสไฟล์ config.ini แล้วรันแบ็กดอร์ในหน่วยความจำ ซึ่งสำรวจเครือข่ายและบัญชีผู้ใช้ เก็บข้อมูลระบบ โปรเซส คีย์ที่กด และภาพหน้าจอ เนื่องจาก payload ถูกเข้ารหัสและถอดเฉพาะตอนรัน การตรวจจับด้วยลายเซ็นไฟล์จึงอาจใช้ไม่ได้ผล Sophos จึงแนะนำให้เน้นตัวบ่งชี้เชิงพฤติกรรมแทน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า นักวิจัยด้านความปลอดภัยไซเบอร์เปิดเผยรายละเอียดของกลุ่มภัยคุกคามสายจีนที่ไม่เคยถูกบันทึกมาก่อนชื่อ Bronze Sandcastle ซึ่งพบว่าเล็งเป้าองค์กรในเอเชียและแอฟริกามาตั้งแต่กลางปี 2568 ข้อมูลมาจากบล็อกของ Sophos ที่เผยแพร่เมื่อวันอังคาร

ตามรายงาน การโจมตีของกลุ่มนี้ระหว่างเดือนสิงหาคม 2568 ถึงสิงหาคม 2569 ทำให้เกิดเหยื่อในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน นามิเบีย และน่าจะรวมถึงเกาหลีใต้ หลักฐานชี้ว่ากลุ่มทำงานมากที่สุดในเขตเวลา UTC+8 ข้อจำกัดของหลักฐานที่ควรทราบคือ ต้นฉบับไม่ระบุภาคอุตสาหกรรมหรือชื่อองค์กรที่ตกเป็นเหยื่อ จำนวนเหยื่อ หรือช่องทางเจาะเข้าครั้งแรก และกรณีเกาหลีใต้ยังเป็นเพียงการประเมินว่าน่าจะเป็น

Sophos ระบุว่าพบไฟล์ปฏิบัติการของ Sandboxie ของจริงวางอยู่ในสภาพแวดล้อมของเหยื่อหลายราย คู่กับไฟล์ sbiedll.dll ที่เป็นอันตราย ซึ่งทำให้โปรแกรมที่น่าเชื่อถืออย่าง SandboxieWUAU.exe โหลดโค้ดของผู้โจมตีระหว่างทำงาน ชื่อบล็อกของ Sophos ระบุด้วยว่ากลุ่มนี้ติดตั้ง Meterpreter shell ฉบับดัดแปลง

นี่ไม่ใช่ครั้งแรกที่กลุ่มแฮ็กเกอร์จีนใช้ DLL sideloading หรือใช้ Sandboxie ในลักษณะนี้ เมื่อเดือนกรกฎาคม 2567 กลุ่ม APT41 เคยใช้ไฟล์ปฏิบัติการอีกตัวที่ลงนามโดย Sandboxie ชื่อ taskhost.exe โหลด sbiedll.dll ฉบับอันตราย เพื่อติดตั้งแบ็กดอร์ชื่อ MoonWalk แต่ต้นฉบับไม่ได้ระบุว่า Bronze Sandcastle เกี่ยวข้องกับ APT41

วิธีการโจมตี

DLL sideloading อาศัยวิธีที่ Windows ค้นหาไฟล์ DLL เมื่อโปรแกรมไม่ได้ระบุพาธเต็มของ DLL ที่ต้องใช้ ระบบจะค้นหาตามลำดับไดเรกทอรีที่กำหนดไว้ ผู้โจมตีจึงวาง DLL อันตรายชื่อเดียวกับของจริงไว้ในตำแหน่งที่ Windows ค้นก่อน บริษัท Zscaler อธิบายว่า เมื่อโค้ดอันตรายถูกรันโดยโปรแกรมที่น่าเชื่อถือและมักมีลายเซ็นดิจิทัล ซอฟต์แวร์แอนติไวรัสก็มีโอกาสแจ้งเตือนน้อยลง และถ้าโปรแกรมนั้นรันด้วยสิทธิ์สูง DLL อันตรายก็จะได้สิทธิ์เดียวกัน ส่วนโปรแกรมที่ตั้งให้รันทุกครั้งที่เปิดเครื่องก็กลายเป็นช่องทางฝังตัวไปด้วย

นอกจาก Sandboxie แล้ว Bronze Sandcastle ใช้คู่ DLL sideloading อีก 7 แบบ ได้แก่

Sophos ระบุว่า DLL ที่ถูกโหลดมักอ่านและรัน payload ที่เก็บไว้ในไฟล์ config.ini ที่เข้ารหัส การออกแบบนี้ลดโอกาสถูกตรวจจับแบบสถิต และทำให้ผู้ควบคุมปรับพฤติกรรมได้โดยไม่ต้องเปลี่ยนไบนารี DLL กลุ่มนี้มักเปลี่ยนชื่อไฟล์ปฏิบัติการที่ถูกต้องให้กลมกลืนกับสภาพแวดล้อมของเหยื่อ และการรันจะจบที่ shellcode ในหน่วยความจำ แทนที่จะทิ้งไฟล์เพิ่มบนดิสก์

payload ที่ถอดรหัสแล้วทำหน้าที่เป็นแบ็กดอร์ สำรวจเครือข่ายภายในและบัญชีผู้ใช้ เก็บข้อมูลเมตาของระบบ รายชื่อโปรเซสที่กำลังทำงาน คีย์ที่กด และภาพหน้าจอ พบแล้ว 2 เวอร์ชัน คือ 1.1.5 และ 1.1.7 payload ติดต่อบริการภายนอกที่ถูกต้องตามกฎหมาย เช่น file.io, gofile.io, ably.net และ ably.io ซึ่งน่าจะใช้รับคำสั่งเพิ่มเติม เวอร์ชัน 1.1.5 ใช้โดเมน dc.cathaypacifice[.]com และ net.dpworldto[.]com เป็น C2 ซึ่งตั้งชื่อให้คล้ายสายการบิน Cathay Pacific และบริษัทโลจิสติกส์ DP World ส่วนเวอร์ชัน 1.1.7 ดึงไฟล์คอนฟิกที่เข้ารหัสผ่าน API จาก repository บน GitHub ของบัญชี LatonyCharnleyaW ซึ่งปัจจุบันเข้าถึงไม่ได้แล้ว

ผลกระทบ

ฟิลิปปินส์เป็นประเทศอาเซียนที่ยืนยันว่ามีเหยื่อ ร่วมกับไต้หวันซึ่งอยู่ในเขตเวลาเดียวกับที่กลุ่มทำงาน ภาพรวมจึงสอดคล้องกับเป้าหมายด้านข่าวกรองของกลุ่มสายจีนที่สนใจภูมิภาคทะเลจีนใต้ แม้ Sophos จะยังไม่ระบุภาคส่วนของเหยื่อ จุดที่ทำให้กลุ่มนี้ตรวจจับยากคือทุกขั้นที่เห็นบนดิสก์เป็นไฟล์ปฏิบัติการของจริงที่มีลายเซ็น ส่วนโค้ดอันตรายอยู่ในไฟล์คอนฟิกที่เข้ารหัสและรันในหน่วยความจำ การใช้โดเมนเลียนแบบบริษัทการบินและโลจิสติกส์ รวมถึงบริการฝากไฟล์และ GitHub เป็นช่องทางสั่งการ ยังทำให้ทราฟฟิกกลมกลืนกับการใช้งานปกติ

รายชื่อโปรแกรมที่ถูกสวมรอยก็ควรจับตา เพราะหลายตัวเป็นซอฟต์แวร์ที่พบได้ทั่วไปบนเครื่องผู้ใช้ เช่น LINE ซึ่งนิยมในไต้หวันและหลายประเทศในเอเชีย รวมถึงเครื่องมือ Sysinternals ที่ผู้ดูแลระบบใช้เป็นประจำ การเห็นโปรแกรมเหล่านี้รันจากโฟลเดอร์แปลก ๆ จึงอาจถูกมองข้ามได้ง่าย

คำแนะนำ

• ตรวจหาไฟล์ปฏิบัติการของ Sandboxie, LINE, Krita, NVDA, Java และ Sysinternals ที่อยู่นอกพาธติดตั้งมาตรฐาน หรือถูกเปลี่ยนชื่อ โดยเฉพาะเมื่อมี DLL ชื่อตามตารางและไฟล์ config.ini อยู่ในโฟลเดอร์เดียวกัน
• ตั้งกฎตรวจจับเชิงพฤติกรรมตามที่ Sophos แนะนำ เช่น DLL ที่อ่านไฟล์ในเครื่องแล้วตามด้วยการรันโค้ดในหน่วยความจำทันที ซึ่งบ่งชี้การถอดรหัสและเตรียม payload
• เปิดใช้ application control (WDAC/AppLocker) จำกัดการโหลด DLL จากไดเรกทอรีที่ผู้ใช้เขียนได้ และเฝ้าระวังโปรแกรมที่มีลายเซ็นแต่ทำงานจาก %TEMP%, %APPDATA% หรือ ProgramData
• ตรวจล็อก DNS/พร็อกซีหาโดเมนในตาราง IoC และการเรียก GitHub API หรือบริการฝากไฟล์ (file.io, gofile.io) และ ably.net/ably.io จากเครื่องที่ไม่มีเหตุใช้งาน
• องค์กรในฟิลิปปินส์และไต้หวัน รวมถึงหน่วยงานที่ทำงานร่วมกับประเทศเหล่านี้ ควรล่าภัยย้อนหลังถึงกลางปี 2568

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่าง defang แล้ว · ไฟล์ปฏิบัติการในตารางเป็นโปรแกรมของจริง ต้องดูบริบท (ตำแหน่งไฟล์และ DLL ที่วางคู่) ประกอบเสมอ

แหล่งอ้างอิง

• China-Aligned Bronze Sandcastle Abuses Sandboxie DLL Sideloading to Deploy Backdoors — The Hacker News
• Bronze Sandcastle deploys modified Meterpreter shells — Sophos
• Bronze Sandcastle threat profile — Sophos
• Hijack Execution Flow: DLL (T1574.001) — MITRE ATT&CK