Sophos 揭 BRONZE SANDCASTLE 攻擊，台灣受害

原文標題：BRONZE SANDCASTLE deploys modified Meterpreter shells

Sophos Counter Threat Unit（CTU）與 SophosLabs 於 10 月 20 日公布 BRONZE SANDCASTLE 攻擊群體的技術分析。研究人員觀察到多起事件反覆使用合法程式的 DLL sideloading（動態連結程式庫側載）技術，讓可信任的執行檔在啟動時載入攻擊者放置的惡意 DLL，進一步執行記憶體內的後門程式碼。

研究列出 SandboxieWUAU.exe 或改名的 Start.exe 搭配 sbiedll.dll 等案例，另觀察到 javaw.exe、Krita.exe、NVDA 元件、Sysinternals 工具與 LINE 相關執行檔遭濫用的組合。惡意 DLL 通常讀取加密的 config.ini，解碼後在記憶體執行負載，藉此減少直接落地的惡意檔案特徵。

CTU 分析的載入器採用複雜的控制流程混淆，部分樣本含自訂 PE 載入器與 COFFLoader 相關程式碼。研究發現 1.1.5、1.1.7 兩種後門負載版本，會收集主機名稱、使用者、網域、內外部 IP、作業系統版本、行程資訊及啟動時間等資料，再與控制伺服器通訊。

研究也觀察到攻擊者透過合法雲端服務及程式碼儲存庫取得加密設定，並在受害環境中使用 Windows 網路查詢命令、建立 Volume Shadow Copy，以及複製 Active Directory 的 ntds.dit 檔案。這些動作可能協助攻擊者盤點網路及取得認證資料。

依 Sophos 觀察，2025 年 8 月至 2026 年 8 月期間的受害組織分布於菲律賓、台灣、阿富汗、納米比亞，另可能包含韓國。研究將活動視為與中國相關的威脅群體，但明確表示尚無法可靠連結至其他已命名的 BRONZE PRESIDENT 或 BRONZE ATLAS 群體，不能把推測歸屬寫成已證實身分。

防禦建議是關注合法行程讀取本機加密設定後立即執行記憶體負載的異常行為，並強化端點遙測、反射式載入與可疑記憶體 PE 標頭偵測；完整威脅指標另由 SophosLabs 公開。

發生了什麼事

Sophos 發現 BRONZE SANDCASTLE 使用多種合法程式側載惡意 DLL，並公布包含台灣的受害地區。

為什麼重要

這類入侵利用可信執行檔與記憶體載入繞過單純的檔案掃描，對企業端點監控及認證資料保護構成風險。

影響哪些人

台灣企業資安團隊、端點偵測與事件應變人員，以及管理 Active Directory 的系統管理者。

已確認與未確認

已確認 Sophos 調查的技術樣本與受害地區；攻擊者真實身分與各國受害組織數量未由官方完整揭露。