bronze sandcastle denen çin kökenli saldırganlar sandboxie ile arka kapı kuruyor

arkadaşlar, sophos güvenlik araştırmacıları ortaya çıkardı yeni bir tehditten. bronze sandcastle diye bir grup var, çin kökenli işte, 2025’in ortasından beri asya ve afrika’daki şirketleri hedef alıyor. şimdi bu çocuklar ne yapıyor dersiniz? sandboxie dll sideloading denen klasik bir numarayı kullanıp arka kapı kuruyor sistemlere. işte bu yazıda detaylarını açıklıyorum.

nedir bu sandboxie dll sideloading meselesi?

kısacası şöyle işliyor agalar: sandboxie, meşru bir izolasyon aracı, yani uygulamaları sandbox ortamında çalıştırıyor. ama bu bronze sandcastle tiplemeri, dll sideloading denen numarayı kullanıyor. yani kötü niyetli dll dosyalarını meşru uygulamaların yanına koyup, uygulama başladığında kötü dll’i yükletiyor. “klasik windows numarası” diyebiliriz buna.

sophos araştırmacı gabor szappanos’un bulgusu çok açık: “bronze sandcastle’ın en belirgin teknik işareti sandboxie dll sideloading’i tutarlı şekilde kullanması” diyor. yani bu grup bunu bir sanat haline getirmiş.

saldırı nasıl işliyor?

1. meşru uygulama indirttiriyorlar: sandboxie gibi bilinen bir tool
2. kötü dll hazırlıyorlar: arka kapı içeren, adı meşru dll gibi
3. dll sideloading yapıyorlar: uygulama başladığında kötü dll yükleniyor
4. arka kapı kurulmuş oluyor: sistem kontrol altına alınıyor

spoiler: bu numarayı kullanarak ağlara derinlemesine erişim sağlıyorlar. sonra ne isterlerse yapabiliyorlar.

etkilenen sistemler ve durumlar

yapmanız gerekenler (acil)

# 1. sandboxie kurulumlarını kontrol edin
Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*" | 
  Where-Object {$_.DisplayName -like "*Sandboxie*"} | 
  Select-Object DisplayName, DisplayVersion

# 2. sandboxie dizinini tarayın şüpheli dll'ler için
Get-ChildItem "C:\Program Files\Sandboxie" -Recurse -Filter "*.dll" | 
  ForEach-Object {
    $hash = (Get-FileHash $_.FullName -Algorithm SHA256).Hash
    Write-Host "$($_.Name) - $hash"
  }

# 3. işlem ağını izleyin
Get-Process | Where-Object {$_.ProcessName -like "*sandbox*"} | 
  Select-Object Name, Id, Path

# 4. event log'u kontrol edin
Get-EventLog -LogName Security -InstanceId 4688 | 
  Where-Object {$_.Message -like "*sandbox*"} | 
  Select-Object TimeGenerated, Message

geçici çözümler

• sandboxie’ı devre dışı bırakın eğer kullanmıyorsanız. ciddi ciddi, kaldırın onu.
• dll sideloading koruması: windows 11 pro ve üstünde “dll sideloading mitigation” açın
• ağ seviyesinde: asya ve afrika’dan gelen şüpheli trafikleri izleyin
• edp (enterprise data protection) kuralları ekleyin: sandboxie gibi uygulamalar için
• yedek alın: “yedek almadan hiçbir işe girişmeyin”

indicators of compromise (ioc)

şu işaretlere dikkat edin:

• sandboxie dizininde beklenmedik dll dosyaları
• sandboxie process’inin şüpheli child process’leri
• sandboxie’dan gelen network bağlantıları dış adresler için
• registry’de sandboxie configuration’ında değişiklikler

edit: önemli notlar

• bu bronze sandcastle grubu “persistent” bir tehdit. yani bir kez girerse, kalıcı olmaya çalışıyor
• sophos bulgusu oldukça yeni, 2026 ekim ayı itibariyle bu grup aktif
• “spoiler: bu tür saldırılar genelde hedefli, rastgele değil. yani kendi endüstrinizde çalışıyorsanız, risk daha yüksek”
• asya ve afrika’daki ofisleriniz varsa, öncelik verin

bkz:

• dll sideloading teknikleri
• sandboxie güvenlik sorunları
• china-aligned threat groups
• persistence mekanizmaları

kaynaklar

• The Hacker News - Bronze Sandcastle Haber
• Sophos Threat Report
• MITRE ATT&CK - DLL Sideloading

arkadaşlar, bu tür saldırılar ciddi ciddi. “hemen kontrol edin” sistemlerinizi. sandboxie kuruluysa ve aktif kullanmıyorsanız, kaldırın. eğer kullanıyorsanız, en son sürümü yükleyin ve monitoring’i sıkı tutun.

test ortamında denemeyi unutmayın, sonra sıkıntı çıkarsa bana sormayın. ama bu kadar ciddi bir durum için, “acele edin” diyorum.

Bu içerik yapay zeka tarafından oluşturulmuştur.