中国関連の脅威グループ「Bronze Sandcastle」、Sandboxieなど正規ソフトのDLLサイドローディングを悪用しバックドアを展開

要点

• これまで詳細が記録されていなかった中国関連のサイバー脅威グループ「Bronze Sandcastle」が、アジアやアフリカの組織を標的に活動していることが判明した。

• 隔離ソフトウェア「Sandboxie」をはじめとする正規プログラムの「DLLサイドローディング」を一貫して悪用し、セキュリティ検知をすり抜けていた。

• 暗号化された設定ファイルからバックドアを展開し、キー入力記録や画面キャプチャ、ネットワーク情報の収集などを行っていた。

• 被害はフィリピン、台湾、韓国、アフガニスタン、ナミビアの組織に及び、攻撃者の活動時間帯はUTC+8に集中している。

• 中国に関連しているとみられるサイバー攻撃グループ「Bronze Sandcastle」が、正規のソフトウェアを隠れ蓑にして標的組織にバックドアを展開している実態が明らかになった。英サイバーセキュリティ企業ソフォス（Sophos）が2026年10月21日までに公開した調査レポートによると、同グループは2025年半ばからアジアおよびアフリカの組織を標的に攻撃を継続しているという。信頼された正規プログラムを経由して不正なコードを実行させる「DLLサイドローディング」を用いることで、セキュリティ対策を巧妙に回避していたことが確認されている。

アジアやアフリカの複数国で被害が確認

ソフォスの調査によると、Bronze Sandcastleはこれまで詳細が公表されていなかった脅威グループである。2025年8月から2026年8月にかけて同グループによる攻撃が観測されており、フィリピン、台湾、アフガニスタン、ナミビア、そして韓国とみられる組織で被害が確認された。

攻撃者の活動痕跡を分析した結果、活動時間帯はUTC+8（協定世界時より8時間進んだ時間帯）に最も集中していることが示された。同グループは2025年半ば以降、アジアとアフリカ地域を標的として長期的な活動を展開しているという。

「Sandboxie」を一貫して悪用する手口

Bronze Sandcastleの活動における最大の特徴は、隔離環境ツール「Sandboxie」を用いた「DLLサイドローディング」の一貫した悪用にある。DLLサイドローディングとは、Windowsがプログラム実行時に必要なDLL（動的リンクライブラリ）を探す仕組みを突き、正規プログラムに不正なDLLを読み込ませて実行させる攻撃手法である。

Windowsでは、アプリケーションが必要なDLLの完全なファイルパスを指定していない場合、事前に定められた順序でフォルダーを検索する。攻撃者はこの挙動を利用し、正規プログラムと同じフォルダーに同名の不正なDLLを配置しておくことで、正規プログラム起動時に悪意あるコードを読み込ませる。

セキュリティ企業ゼットスケーラー（Zscaler）の分析によれば、正規かつ電子署名されたアプリケーション内でコードが実行されるため、セキュリティ製品に検知されにくい利点がある。さらに、正規プログラムが高い権限で動作していればその権限を引き継げるほか、OS起動時の自動実行設定により侵入状態を持続させることも可能となる。ソフォスは被害環境において、正規の「SandboxieWUAU.exe」とともに不正な「sbiedll.dll」が配置され、攻撃者のコードが読み込まれていた事例を確認した。

LINEやJavaなど7種類の著名ツールも標的に

同グループはSandboxieにとどまらず、日常的に広く利用される7種類の正規アプリケーションでも同様のDLLサイドローディングを実行していた。

報告で挙げられた組み合わせは以下の通りである。

• Javaの実行ファイル「javaw.exe」と「jli.dll」
• デジタルペイントソフト「Krita.exe」と「Krita.dll」
• スクリーンリーダー関連「NvdaHelper.exe」と「NvdaHelperRemote.dll」
• 組み込みフレームワーク補助「Jcef_helper.exe」と「Libcef.dll」
• メモリ解析ツール「Vmmap.exe」と「version.dll」
• メッセージングアプリ関連「LineAppMgr.exe」と「msvcp140.dll」
• システム情報表示ツール「bginfo64.exe」と「snmpapi.dll」

攻撃者は侵入先の環境に溶け込ませるため、正規の実行ファイルの名前を変更して配置する手口も頻繁に用いていた。実行されたコードはディスク上に追加の不正ファイルを残さず、メモリ上のシェルコード（特定の不正処理を実行する機械語コード）としてのみ展開されるため、ファイル検査による検知を困難にしていた。

暗号化ファイルから展開されるバックドアの機能

サイドロードされた悪意あるDLLは、暗号化された設定ファイル「config.ini」に格納されたペイロード（悪意あるプログラムの実体）を読み込んで実行する設計となっていた。ソフォスはこの仕組みについて、静的なファイル検知を抑えつつ、DLL自体を差し替えずに動作設定を変更できるようにするためだと説明している。

展開されるペイロードはバックドアとして機能し、ローカルネットワークの構成調査やユーザーアカウントの列挙、システムメタデータや起動中プロセスの一覧収集を行う。さらに、キーボードの入力履歴（キーストローク）の記録や画面のスクリーンショット撮影といった情報窃取機能も備えていた。現在までに「1.1.5」および「1.1.7」という2つのバージョンが確認されている。

外部Webサービスを悪用した指令受領とC2通信

侵入後の外部通信においても監視を回避する手口が見られた。ペイロードは「file[.]io」「gofile[.]io」「ably[.]net」「ably[.]io」といった外部の正規Webサービスと通信を行っており、攻撃者からの追加タスクを受領する目的で悪用されていたとみられる。

加えて、バージョン1.1.5のペイロードでは、「dc.cathaypacifice[.]com」および「net.dpworldto[.]com」というドメインが遠隔操作用のC2（コマンド＆コントロール）サーバーとして通信先に指定されていたことが明らかになっている。