Bronze Sandcastle: Sandboxie Üzerinden DLL Yan Yükleme Saldırıları

Çin bağlantılı siber casusluk grubu Bronze Sandcastle, güvenlik araştırmacılarının dikkatini çeken sofistike bir tehdit olarak karşımıza çıkıyor. Grup, özellikle Asya ve Afrika’daki kurumları hedef alırken, saldırılarında kilit bir teknik olan Sandboxie DLL istismarı yöntemini kullanarak sistemlere arka kapılar yerleştiriyor. Bu yeni nesil saldırılar, geleneksel güvenlik çözümlerini atlatma potansiyeliyle ciddi bir risk oluşturuyor ve siber tehdit ortamının nasıl evrildiğini bir kez daha gözler önüne seriyor.

Bronze Sandcastle: Küresel Bir Casusluk Gölgesi

Orta 2025’ten bu yana faaliyet gösterdiği belirlenen Bronze Sandcastle, daha önce belgelenmemiş bir tehdit kümesi olmasına rağmen kayda değer bir yıkıcı potansiyele sahip. Sofistike yöntemleriyle öne çıkan bu grup, özellikle UTC+8 zaman diliminde aktif görünüyor ve operasyonlarını bu coğrafyaya odaklamış durumda. 2025 yılının Ağustos ayından 2026’nın aynı ayına kadar geçen bir yıllık dönemde Filipinler, Tayvan, Afganistan, Namibya ve muhtemelen Güney Kore’deki hedefleri vurduğu tespit edildi. Bu durum, grubun bölgesel hedeflere yönelik sürekli ve organize bir siber casusluk faaliyeti yürüttüğünü gösteriyor.

Güvenlik araştırmacılarına göre Bronze Sandcastle’ın en belirgin teknik imzası, Sandboxie DLL yan yükleme tekniğini tutarlı bir şekilde kullanmasıdır. Bu, grubun belirli bir saldırı vektörüne odaklandığını ve bu yöntemi ustalıkla geliştirdiğini ortaya koyuyor. Hedef alınan ülkelerdeki stratejik öneme sahip kurumların, bu tür gelişmiş tehdit aktörlerinin hedefinde olduğu biliniyor. Dolayısıyla, bu coğrafyalardaki siber güvenlik altyapılarının ve savunma mekanizmalarının sürekli olarak gözden geçirilmesi ve güçlendirilmesi hayati önem taşıyor.

DLL Yan Yükleme Mekanizması Nasıl İşler?

DLL yan yükleme, Windows işletim sisteminin dinamik bağlantı kütüphanelerini (DLL) yükleme biçimindeki bir zaafı kullanan yaygın bir saldırı tekniğidir. Bir uygulama başlatıldığında, doğru çalışmak için çeşitli DLL’lere ihtiyaç duyar. Eğer uygulama gerekli DLL’in tam yolunu belirtmezse, işletim sistemi bu DLL’i belirli bir dizin sırasına göre arar. Saldırganlar, bu davranışı kötüye kullanarak, meşru DLL ile aynı ada sahip kötü amaçlı bir DLL’i, Windows’un gerçek DLL’i aramasından önce kontrol ettiği bir konuma yerleştirir.

Bu durumda, meşru uygulama başladığında, istenen gerçek DLL yerine saldırganın yerleştirdiği kötü amaçlı DLL’i yükler ve çalıştırır. Bu durum, saldırganlara sisteme giriş yapmanın etkili bir yolunu sunar. Kötü amaçlı kod, güvenilir ve genellikle dijital olarak imzalanmış bir uygulama tarafından yürütüldüğü için, antivirüs yazılımları ve diğer güvenlik çözümleri tarafından daha az sıklıkla tespit edilir. Ayrıca, eğer ele geçirilen uygulama yüksek ayrıcalıklarla çalışıyorsa, kötü amaçlı DLL de aynı izinleri miras alarak saldırganın sistem üzerinde daha hassas eylemler gerçekleştirmesine olanak tanır. Sistemin her yeniden başlatılışında uygulamanın otomatik olarak çalışması için yapılandırılması durumunda ise, bu teknik kalıcılık sağlayarak saldırgan kodunun enfekte olmuş ana bilgisayarda sürekli olarak yürütülmesine olanak tanır.

Sandboxie ve Diğer Uygulama İstismarları

Bronze Sandcastle, Sandboxie uygulamasını DLL yan yükleme saldırıları için etkin bir şekilde kullanıyor. Araştırmacılar, birden fazla kurban ortamında meşru Sandboxie yürütülebilir dosyalarıyla birlikte kötü amaçlı “sbiedll.dll” dosyasının bulunduğunu gözlemledi. Bu dosya, güvenilir “SandboxieWUAU.exe” uygulamasının çalışma zamanında saldırgan kontrollü kodu yüklemesine neden oluyor. Ancak grubun istismar ettiği tek uygulama Sandboxie değil. Toplamda yedi farklı DLL yan yükleme kombinasyonunda daha bu tekniği kullandığı tespit edildi.

• javaw.exe (Java uygulaması) – jli.dll
• Krita.exe (Krita dijital boyama yazılımı) – Krita.dll
• NvdaHelper.exe (NVDA Görmeyenler İçin Masaüstü Erişimi) – NvdaHelperRemote.dll
• Jcef_helper.exe (Java Chromium Gömülü Çerçeve Yardımcısı) – Libcef.dll
• Vmmap.exe (Sysinternals süreç bellek analizörü) – version.dll
• LineAppMgr.exe (LINE mesajlaşma uygulaması) – msvcp140.dll
• bginfo64.exe (Sistem bilgilerini gösteren Sysinternals aracı) – snmpapi.dll

Yan yüklenen DLL’ler genellikle şifreli “config.ini” dosyalarında depolanan kötü amaçlı yazılımları okuyup yürütüyor. Bu tasarım, statik tespitleri en aza indirmeyi ve operatörlerin DLL ikili dosyalarını değiştirmeden davranışlarını ayarlamasını sağlamayı amaçlıyor. Saldırganların meşru yürütülebilir dosyaların adlarını sık sık değiştirmesi de kurban ortamlarına daha kolay karışmalarına yardımcı oluyor. Bu geniş yelpazedeki uygulama istismarı, Bronze Sandcastle’ın farklı sistem konfigürasyonlarına adapte olabilen çok yönlü bir tehdit olduğunu ortaya koyuyor.

Kurumlar İçin Riskler ve Korunma Stratejileri

Bronze Sandcastle gibi gelişmiş tehdit gruplarının kullandığı DLL yan yükleme teknikleri, kurumlar için önemli riskler taşıyor. Özellikle, kötü amaçlı kodun meşru ve güvenilir uygulamalar üzerinden yürütülmesi, geleneksel imza tabanlı güvenlik çözümlerinin bu tür saldırıları tespit etmesini zorlaştırıyor. Yüksek ayrıcalıklı uygulamaların istismar edilmesi, saldırganlara hassas verilere erişim, sistem yapılandırmalarını değiştirme veya ağ içinde yanal hareket etme imkanı sunar. Ayrıca, sistem yeniden başlatıldığında dahi kalıcılık sağlama yeteneği, tehdidin uzun süre fark edilmeden sistemde kalmasına olanak tanır.

Bu tür tehditlere karşı korunmak için kurumların katmanlı bir güvenlik yaklaşımı benimsemesi şarttır. İlk olarak, tüm yazılımların düzenli olarak güncellenmesi ve en son güvenlik yamalarının uygulanması kritik öneme sahiptir, çünkü bu yamalar bilinen zafiyetleri kapatır. Uygulama beyaz listeleme (application whitelisting) çözümleri, yalnızca güvenilir ve onaylanmış uygulamaların çalışmasına izin vererek kötü amaçlı yürütülebilir dosyaların önüne geçebilir. Kullanıcı hesaplarına verilen ayrıcalıkların en aza indirilmesi (least privilege principle) ve ağ segmentasyonu da potansiyel zararın yayılmasını kısıtlar. Ayrıca, uç nokta tespit ve yanıt (EDR) çözümleri ile sürekli izleme, anormal davranışları ve potansiyel saldırı belirtilerini daha erken aşamalarda tespit etmeye yardımcı olabilir.

Siber Güvenlikte Yeni Nesil Tehditlerin Gölgesinde

Bronze Sandcastle’ın ortaya çıkışı ve kullandığı sofistike DLL yan yükleme teknikleri, siber güvenlik dünyasında karşılaşılan zorlukların artarak devam ettiğini gösteriyor. Bu tür saldırılar, sadece yeni güvenlik duvarları veya antivirüs yazılımları kurmanın yeterli olmadığını, aynı zamanda saldırganların taktiklerini ve stratejilerini sürekli olarak analiz etmenin gerekliliğini vurguluyor. Güvenlik ekipleri, sadece bilinen tehditlere karşı değil, aynı zamanda sistemin doğal işleyişini taklit ederek sızmaya çalışan gizli tehditlere karşı da hazırlıklı olmalıdır.

Siber casusluk faaliyetlerinin küresel ölçekte artması, devlet destekli aktörlerin ve gelişmiş kalıcı tehditlerin (APT) yeteneklerinin genişlediğini ortaya koyuyor. Bu durum, siber güvenlik araştırmacıları, yazılım geliştiriciler ve kurumlar arasında daha sıkı bir işbirliğini zorunlu kılıyor. Şifreli yapılandırma dosyaları ve meşru uygulama adlarını taklit etme gibi yöntemler, statik tespit mekanizmalarını aşmaya yönelik bilinçli çabalar olarak değerlendirilmeli ve savunma stratejileri de buna göre evrimleşmelidir. Gelecekte, bu tür tehditlere karşı daha dinamik, davranış tabanlı ve yapay zeka destekli güvenlik çözümlerinin önemi daha da artacaktır.