BRONZE SANDCASTLE: Sandboxie DLL Sideloading ile Meterpreter Tarzı Arka Kapı

Selamlar,

Sophos Counter Threat Unit, Ağustos 2025 - Ağustos 2026 arasında Filipinler, Tayvan, Afganistan, Namibya ve muhtemelen Güney Kore'deki kurbanlarda görülen bir Çin bağlantılı kümeyi BRONZE SANDCASTLE adıyla tanımladı. Kümenin en ayırt edici teknik imzası: Sandboxie bileşenleri üzerinden tutarlı DLL sideloading.

Konuda anlatılacaklar

1. DLL sideloading nasıl kullanılıyor?
   
2. Yükün yapısı: reflective loader ve COFFLoader izleri
   
3. C2 ve keşif davranışları
   
4. Savunma ve av önerileri
   

DLL sideloading imzası
Sophos'a göre meşru Sandboxie çalıştırılabilirleri (SandboxieWUAU.exe veya yeniden adlandırılmış Start.exe) kötü amaçlı sbiedll.dll ile yan yana bırakılıyor; güvenilen uygulama çalışma zamanında saldırganın kodunu yüklüyor. Grup yalnızca Sandboxie ile sınırlı değil; raporlanan diğer taşıyıcı/DLL çiftleri:
Sideload edilen DLL'ler genellikle şifreli config.ini dosyasını okuyup çalıştırıyor. Bu tasarım, statik dosya tespitini zorlaştırıyor ve operatörlerin DLL'yi değiştirmeden davranışı ayarlamasına izin veriyor. Yeniden adlandırılmış meşru çalıştırılabilirler ortamda "doğal" görünmek için sık kullanılıyor; yürütme sonucu diskte ek artefakt yerine bellek içi shellcode aktivitesi oluyor.

Yükün yapısı
Çözülen yük, bellek içinde yüzeysel olarak bir Windows çalıştırılabilirini andıran bir arka kapı. Dosya başlığı konumdan bağımsız bir PE yükleyici/çalıştırma stub'ı (reflective loader). Yapısal olarak Metasploit Framework'ün stageless shellcode yüklerine benziyor: konumdan bağımsız yürütme, manuel PE doğrulama, gömülü çalıştırılabilirin bellek içi yüklenmesi. Ancak API çözümleme mantığı Metasploit'in bilinen ROR13 algoritması yerine özel hash/dönüşüm rutinleri kullanıyor ve kod tabanı tipik MSF shellcode'undan belirgin biçimde daha büyük.

Örneklerde ayrıca COFFLoader projesine ait unsurlar görülmüş; bu da yazarın özel Beacon Object File (BOF) özellikleriyle kendi post-exploitation yeteneklerini eklediğini düşündürüyor. Sophos iki sürüm tespit etti: 1.1.5 ve 1.1.7. Yük, C2'ye iç içe "info" bloğu içeren yapılandırılmış bir JSON nesnesi gönderiyor: hostname, kullanıcı adı, GUID, domain, OS sürümü, iç/dış IP, süreç listesi, çalışma dizini, kod sayfası, CPU mimarisi, implant başlangıç zamanı ve tipi (server/client).

C2 ve keşif

• 1.1.5: dc.cathaypacifice[.]com ve net.dpworldto[.]com
  
• 1.1.7: GitHub depolarından şifreli config indirme (örnek: LatonyCharnleyaW adlı az geçmişli bir depo)
  
• file[.]io, gofile[.]io, ably[.]net / ably[.]io gibi meşru sitelere de erişim gözlemlenmiş (muhtemel görev alma)
  

Kurulum sonrası tipik keşif: Windows "net" komutlarıyla yerel ağ ve hesap numaralandırma; Active Directory kimlik bilgileri için vssadmin.exe ile Volume Shadow kopyası oluşturup ntds.dit kopyalama.

Atıf notları
Hedef coğrafya BRONZE PRESIDENT ve BRONZE ATLAS ile örtüşüyor ama teknik özellikler yeterince ayırt edici bulunmuş; bu yüzden ayrı bir küme adı verilmiş. Aktivite saatlerinin UTC+8'e yoğunlaşması Çin merkezli bir grup değerlendirmesini destekliyor.

Savunma ve av önerileri
Sophos'un vurgusu: şifreli yük ve yapılandırma dosyaları çalışma zamanında çözüldüğü için salt dosya tabanlı tespit yetersiz. Davranışsal göstergelere bakın:

• Bir DLL'nin yerel bir dosyayı okuyup hemen ardından bellek içi yürütmeye geçmesi (çözme + sahneleme)
  
• Yansıtıcı (reflective) yükleme kalıpları, bellekte anormal PE başlıkları
  
• Konumdan bağımsız shellcode özellikleri gösteren süreçler
  
• Kullanıcı profili, ProgramData veya temp altında Sandboxie / Sysinternals / Java yardımcı çalıştırılabilirleri yanında beklenmeyen DLL'ler
  

DLL sideloading için hangi EDR kurallarınız var? Sandboxie veya Sysinternals yardımcılarının beklenmeyen konumlarda çalışmasını izliyor musunuz?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

• https://www.sophos.com/en-us/blog/bronze...ter-shells
  
• https://thehackernews.com/2026/10/china-...buses.html