Security · 21.10.2026
Die neu entdeckte Cyberspionage-Gruppe "Bronze Sandcastle" nutzt die Sandbox-Software Sandboxie, um über DLL-Sideloading Schadsoftware in Unternehmensnetzwerken zu platzieren.
Sicherheitsforscher haben eine bisher nicht dokumentierte, mutmaßlich staatlich gestützte Bedrohungsgruppe namens "Bronze Sandcastle" identifiziert. Die Akteure nutzen gezielt die bekannte Windows-Sicherheitssoftware Sandboxie, um mittels DLL-Sideloading Schadsoftware in Zielnetzwerke einzuschleusen. Diese Kampagne läuft nach aktuellen Erkenntnissen bereits seit Mitte 2025 und zielt primär auf die Umgehung herkömmlicher Sicherheitskontrollen ab.
Die Technik des DLL-Sideloadings ist für Administratoren und Sicherheitsverantwortliche im DACH-Raum ein ernstzunehmendes Risiko. Da Sandboxie ein weit verbreitetes Werkzeug zur isolierten Ausführung von verdächtigen Anwendungen unter Windows ist, genießt die ausführbare Datei der Software oft ein hohes Vertrauen bei Endpoint-Detection-and-Response-Systemen (EDR). Angreifer nutzen dieses Vertrauen schamlos aus: Sie platzieren eine manipulierte Dynamic Link Library (DLL) im selben Verzeichnis wie die legitime Sandboxie-Anwendung. Wird das Programm gestartet, lädt es die bösartige DLL, ohne dass Alarm geschlagen wird. Dies ermöglicht es Angreifern, Hintertüren im System zu etablieren und unbemerkt Daten abzugreifen, selbst wenn die primäre Zielregion derzeit außerhalb Europas liegt.
IT-Verantwortliche und Administratoren sollten proaktiv Maßnahmen ergreifen, um diese Art des Missbrauchs zu verhindern. Zunächst gilt es, die im Unternehmen eingesetzten Versionen von Sandboxie und Sandboxie-Plus auf den neuesten Stand zu bringen, da neuere Versionen Mechanismen zur Validierung von DLLs implementiert haben. Zudem sollte die Überwachung von Verzeichnisstrukturen intensiviert werden: Das Schreiben von DLL-Dateien in Verzeichnisse, die von Standardbenutzern beschrieben werden können, muss per Gruppenrichtlinie oder EDR-Regeln blockiert werden.
Darüber hinaus empfiehlt sich die Implementierung von strengen Anwendungssteuerungskonzepten wie Windows Defender Application Control (WDAC) oder AppLocker. Diese Systeme sollten so konfiguriert werden, dass sie nur digital signierte und verifizierte Bibliotheken laden dürfen. Ein regelmäßiger Abgleich der Prozessaufrufe auf Anomalien – insbesondere wenn legitime Administrations- oder Sicherheitswerkzeuge ungewöhnliche Netzwerkverbindungen aufbauen – ist für eine frühzeitige Erkennung unerlässlich.
Der Missbrauch legitimer Software wie Sandboxie verdeutlicht einmal mehr, dass Angreifer zunehmend auf vertrauenswürdige Tools setzen, um Sicherheitsbarrieren zu umgehen. Nur durch ein mehrschichtiges Sicherheitskonzept, das über reine Signaturprüfungen hinausgeht, lässt sich diese Form der Bedrohung effektiv eindämmen.
Quelle: The Hacker News