資安業者 Sophos 揭露一個具中國背景的間諜駭客組織「BRONZE SANDCASTLE」，在 2025 年 8 月到 2026 年 8 月間的入侵事件中，受害組織分布在菲律賓、台灣、阿富汗、納米比亞，南韓也可能受害。這個組織最大的特色，是拿 Sandboxie、Java、LINE 等「看起來正常」的合法程式，側載惡意 DLL，再在記憶體裡執行改造過的 Meterpreter 後門，入侵後目標直指 Active Directory 帳密資料庫。
事件經過
- Sophos 反威脅小組（CTU）與 SophosLabs 調查一系列入侵事件後，判定無法可靠歸屬到既有的中國駭客組織（如 BRONZE PRESIDENT、BRONZE ATLAS），因此另外命名為 BRONZE SANDCASTLE。
- Sophos 評估該組織「可能在中華人民共和國領導階層指揮下運作」，目的為情報蒐集；其活動時間集中在 UTC+8 的工作時段。
- Broadcom（Symantec）10/21 也發布防護公告，摘要 Sophos 的研究；iThome 10/28 報導指出受害範圍涵蓋台灣。
重點
攻擊手法
- DLL 側載（DLL sideloading）：把合法、甚至有簽章的執行檔，和同名的惡意 DLL 放在一起，讓合法程式啟動時載入攻擊者的程式碼。
- 加密酬載：惡意 DLL 讀取同目錄下加密的 config.ini，在記憶體中解密執行，硬碟上幾乎不留明顯痕跡，傳統以檔案特徵比對的防毒容易漏掉。
- 改造版 Meterpreter 後門：結構類似 Metasploit 的無階段（stageless）酬載，但 API 解析等實作不同，並帶有 COFFLoader 元素，可自訂後滲透功能。
- 入侵後動作：用 Windows net 指令列舉內網與帳號；以 vssadmin 建立磁碟區陰影複製（Volume Shadow Copy），再複製 AD 資料庫檔 ntds.dit，竊取網域帳密。
- C2 偽裝：使用名稱近似知名企業的網域，例如 dc[.]cathaypacifice[.]com（字面近似國泰航空 Cathay Pacific）、net[.]dpworldto[.]com（字面近似港口營運商 DP World）；也會連線 file[.]io、gofile[.]io 等合法服務，新版本還會從 GitHub 下載加密設定檔。
被濫用的合法程式（Sophos 整理）
| 合法執行檔 | 被側載的惡意 DLL |
|---|---|
| SandboxieWUAU.exe／改名的 Start.exe（Sandboxie） | sbiedll.dll |
| javaw.exe（Java） | jli.dll |
| Krita.exe（Krita 繪圖軟體） | Krita.dll |
| NvdaHelper.exe（NVDA 螢幕報讀器） | NvdaHelperRemote.dll |
| Jcef_helper.exe（Java Chromium Embedded Framework） | Libcef.dll |
| Vmmap.exe（Sysinternals） | Version.dll |
| LineAppMgr.exe（LINE 通訊軟體） | msvcp140.dll |
| bginfo64.exe（Sysinternals） | snmpapi.dll |
要注意：這不代表 LINE、Sandboxie 等軟體本身有漏洞，而是攻擊者把「合法執行檔＋惡意 DLL」打包帶進受害環境，借合法程式的名義執行。
對你的實務建議
企業 / IT 管理者
- 依 Sophos 建議，偵測重點放在「行為」：DLL 讀取本機檔案後立即在記憶體執行程式碼、反射式載入（reflective loading）、記憶體中出現異常 PE 標頭等。EDR 的記憶體掃描與行為偵測要開啟。
- 盤點「出現在不該出現位置」的合法程式：例如使用者目錄、暫存資料夾、ZIP 解壓目錄裡的 javaw.exe、Sandboxie、Sysinternals 工具，搭配同目錄的 DLL 與 config.ini。
- 用應用程式控制（AppLocker／WDAC）限制可執行路徑，並對 DLL 載入路徑做稽核。
- 監控網域控制站上的 vssadmin create shadow、ntds.dit 存取或複製行為；這幾乎就是在偷整個網域的帳密，一旦出現應立即啟動應變。
- 到 SophosLabs GitHub 下載完整 IOC（雜湊值、C2 網域），匯入防火牆、DNS 過濾與 EDR 比對；DNS 紀錄裡也可回查是否曾解析上述仿冒網域。
- 政府、關鍵基礎設施及與菲律賓、南韓有業務往來的組織，應把這個組織的 TTP 納入威脅獵捕清單。
一般用戶
- 不要從來路不明的連結、壓縮檔執行「看起來是正常軟體」的程式；正常軟體請從官方網站或 App 商店下載。
- 解壓縮後若看到 .exe 旁邊跟著 .dll、config.ini 等檔案，而來源不明，不要點開，交給公司 IT 或資安人員判斷。
- 公司電腦出現不認識的程式自動啟動、或防毒跳出可疑警告，不要自行關掉，直接回報 IT。
資料來源
- Sophos：BRONZE SANDCASTLE deploys modified Meterpreter shells
- Sophos Threat Profile：BRONZE SANDCASTLE
- Broadcom Protection Bulletin：BRONZE SANDCASTLE Uses DLL Sideloading to Deploy Custom Meterpreter-Style Backdoor（2026/10/21）
- iThome：【資安日報】10月28日（含 Sophos 揭露中國駭客使用改造版 Meterpreter，受害範圍涵蓋臺灣）
- SophosLabs GitHub：BRONZE SANDCASTLE IOC 清單
發表留言