Bronze Sandcastle, un groupe aligné sur la Chine, cible l'Asie et l'Afrique en détournant Sandboxie par DLL sideloading.

Les chercheurs de Sophos ont levé le voile sur Bronze Sandcastle, un groupe de menace jusque-là non documenté. Ce cluster est aligné sur les intérêts de la Chine. En effet, il vise des organisations en Asie et en Afrique depuis la mi-2025. Pour déployer des portes dérobées, il s’appuie sur une technique précise : le détournement de Sandboxie par DLL sideloading.

Bronze Sandcastle : un nouveau groupe aligné sur la Chine

Jusqu’ici, ce groupe n’avait fait l’objet d’aucune description publique. Sophos le suit donc sous le nom de Bronze Sandcastle. Selon l’éditeur, l’activité observée remonte à la mi-2025. Par ailleurs, elle touche des organisations situées en Asie et en Afrique.

Le qualificatif « aligné sur la Chine » mérite d’être précisé. Il indique que les opérations correspondent aux intérêts de ce pays. Toutefois, il ne désigne pas forcément une structure étatique identifiée. C’est une façon prudente de classer un acteur. Ainsi, on évite d’en dire plus que ce que les preuves permettent.

Le chercheur de Sophos Gabor Szappanos a détaillé ces travaux dans une publication. Il y décrit le marqueur technique le plus distinctif du groupe. D’après lui, il s’agit de l’usage constant du DLL sideloading de Sandboxie. Autrement dit, cette méthode revient d’une intrusion à l’autre et sert de signature.

Le DLL sideloading de Sandboxie, signature technique du groupe

Sandboxie est un logiciel d’isolation. Il permet d’exécuter des programmes dans un environnement cloisonné. Son usage est légitime. Cependant, les attaquants ne s’intéressent pas à sa fonction première. Ils exploitent la manière dont l’un de ses composants charge ses bibliothèques.

Le principe du DLL sideloading est simple. D’abord, un exécutable légitime et de confiance est placé sur la machine cible. Ensuite, une bibliothèque DLL malveillante est déposée à côté, avec le nom que le programme attend. Enfin, au lancement, l’exécutable charge cette DLL à la place de la version saine. Ainsi, le code de l’attaquant s’exécute sous couvert d’un processus fiable.

Dans le cas de Bronze Sandcastle, ce procédé sert à installer des portes dérobées. Ces implants offrent un accès à distance aux systèmes compromis. Ils permettent ensuite de poursuivre l’espionnage. Ils peuvent également servir à s’installer durablement dans le réseau.

Notons que les éléments publics dont nous disposons ici restent limités. En effet, ils ne détaillent ni les familles de portes dérobées employées, ni les secteurs précis visés. Il est donc préférable de ne pas extrapoler. Le rapport complet de Sophos reste la référence pour ces points.

Pourquoi cette technique complique la détection

Le DLL sideloading séduit de nombreux groupes, notamment ceux qui privilégient la discrétion. En effet, le fichier qui s’exécute est signé et reconnu. Un outil de sécurité peut donc lui accorder sa confiance. La charge malveillante, elle, se cache dans un composant secondaire.

Cette approche présente un autre avantage pour l’attaquant. Elle évite de lancer directement un fichier suspect. Par conséquent, l’alerte se déclenche moins facilement. Les équipes de sécurité doivent alors s’intéresser au contexte. Elles doivent savoir quel programme charge quelle bibliothèque, et depuis quel dossier.

Par ailleurs, une signature technique aussi stable est une bonne nouvelle pour les défenseurs. Un groupe qui répète le même mode opératoire laisse des traces comparables d’une victime à l’autre. Ainsi, une règle de détection bien construite peut servir sur plusieurs incidents. C’est précisément ce que souligne la remarque de Sophos sur la constance de cette méthode.

Se protéger de Bronze Sandcastle : les bons réflexes

Aucune mesure ne suffit seule. Cependant, plusieurs pratiques réduisent nettement le risque lié au DLL sideloading. Voici les axes à privilégier, en lien avec la technique décrite par Sophos.

• Inventorier les installations de Sandboxie : vérifiez si le logiciel est réellement utilisé dans votre parc. Sa présence inattendue sur un poste mérite donc une enquête.
• Surveiller les chargements de DLL : repérez les bibliothèques chargées depuis des dossiers inhabituels, notamment des répertoires temporaires ou utilisateur.
• Contrôler les exécutables légitimes hors contexte : un programme signé qui s’exécute depuis un emplacement atypique doit déclencher une alerte.
• Restreindre l’exécution : des règles de liste d’autorisation limitent les programmes pouvant démarrer sur les postes sensibles.
• Journaliser et corréler : conservez les événements de création de fichiers et de chargement de modules. Ils permettent ainsi de reconstituer une intrusion.

Les organisations d’Asie et d’Afrique doivent se montrer particulièrement attentives. Ce sont, à ce jour, les régions où Bronze Sandcastle a été observé. Néanmoins, aucune zone n’est à l’abri d’une technique aussi simple à réutiliser.

Ce qu’il faut retenir

• Bronze Sandcastle est un cluster aligné sur la Chine, révélé par Sophos.
• Il cible des organisations en Asie et en Afrique depuis la mi-2025.
• Son marqueur le plus distinctif est le DLL sideloading de Sandboxie, selon Gabor Szappanos.
• Cette méthode permet de déployer des portes dérobées derrière un exécutable légitime.
• Par conséquent, la détection repose sur l’analyse des chargements de DLL et du contexte d’exécution.

Source : China-Aligned Bronze Sandcastle Abuses Sandboxie DLL Sideloading to Deploy Backdoors