Contexte et acteurs
L’article signale l’apparition d’un groupe de cyberespionnage lié à la Chine, identifié sous le nom de Bronze Sandcastle. Le texte fourni ne détaille pas les campagnes précises, ni les cibles visées, ce qui empêche une cartographie exhaustive des victimes. Toutefois, la désignation « China‑aligned » indique un probable financement ou une orientation stratégique en faveur d’intérêts étatiques chinois, un schéma récurrent chez plusieurs APT connus.
Mécanisme de sideloading de DLL avec Sandboxie
Le rapport mentionne que le groupe exploite le sideloader de DLL de l’outil de sandboxing Sandboxie. Le sideloading consiste à placer une bibliothèque dynamique malveillante dans le même répertoire qu’une DLL légitime, puis à forcer l’application à charger la version non autorisée. Sandboxie, conçu pour isoler les processus, charge habituellement une DLL nommée Sandboxie.dll. En remplaçant cette DLL par une version modifiée, l’attaquant obtient l’exécution de code arbitraire tout en conservant l’apparence d’une activité légitime. Cette technique ne nécessite pas de privilèges élevés, car le processus victime possède déjà les droits nécessaires pour charger la DLL depuis son répertoire de travail.
Implications sécuritaires et contre‑mesures
Le déploiement de portes dérobées via ce vecteur augmente la surface d’attaque des environnements qui utilisent Sandboxie sans contrôle d’intégrité des fichiers. La détection repose sur la comparaison de hachages de la DLL avec les versions officielles, ainsi que sur la surveillance des appels d’API de chargement de modules. Les solutions EDR capables d’intercepter les événements LoadLibrary et de vérifier la provenance du fichier peuvent identifier les chargements anormaux. En outre, la restriction des répertoires de recherche aux chemins système uniquement réduit le risque de sideloading. Le texte ne fournit pas de données de performance ou de taux de détection, ce qui limite l’évaluation de l’efficacité des contre‑mesures proposées.
