Überprüfen Sie Systeme auf ungewöhnliche DLL-Dateien, die neben legitimen Programmen platziert sind, und überwachen Sie bekannte Sideloading-Kombinationen.
▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Hinweis auf verfuegbaren Angriffscode: metasploit+10
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine technische Analyse mit pruefbaren Details
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
BRONZE SANDCASTLE deploys modified Meterpreter shells
Die Bedrohungsgruppe BRONZE SANDCASTLE setzt modifizierte Meterpreter-Shells ein, indem sie DLL-Sideloading nutzt, oft mit legitimen Sandboxie-Anwendungen. Betroffen sind Unternehmen, die diese Software nutzen, da die Angreifer so schädlichen Code ausführen können. Es wird empfohlen, Systeme auf ungewöhnliche DLL-Dateien neben legitimen Programmen zu überprüfen und die genannten Sideloading-Kombinationen zu überwachen.
SecBoard-Einordnung
Diese Taktik ermöglicht es Angreifern, schädlichen Code unter dem Deckmantel legitimer Prozesse auszuführen, was die Erkennung erschwert und die Persistenz im System erhöht. Dies kann zu einer vollständigen Kompromittierung der betroffenen Systeme führen.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige Kontrolle über kompromittierte Systeme erlangen, sensible Daten exfiltrieren, weitere Malware installieren oder Ransomware einsetzen, alles unter Ausnutzung vertrauenswürdiger Anwendungen.
Empfehlung: Überprüfen Sie Systeme auf ungewöhnliche DLL-Dateien, die neben legitimen Programmen platziert sind, und überwachen Sie bekannte Sideloading-Kombinationen. Stellen Sie sicher, dass alle Systeme mit den neuesten Sicherheitspatches aktualisiert sind.
Im erfassten Bestand
- ▸11. erfasste Meldung zu Mustang Panda innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Unternehmen, die Anwendungen wie Sandboxie, Java, Krita und andere nicht näher spezifizierte Software nutzen, sind betroffen.
Prüfen
3- ▸Überprüfen Sie Dateisysteme auf das Vorhandensein unbekannter DLL-Dateien in Verzeichnissen legitimer Anwendungen (z.B. Sandboxie, Java, Krita).
- ▸Implementieren Sie Überwachung für Prozess-Erstellung und DLL-Ladevorgänge, um ungewöhnliche DLL-Sideloading-Aktivitäten zu erkennen.
▸ 1 weitere▾ weniger
- ▸Stellen Sie sicher, dass alle Anwendungen und Betriebssysteme regelmäßig gepatcht werden, um bekannte Sideloading-Schwachstellen zu schließen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genaue Liste der 'anderen' betroffenen Anwendungen ist nicht spezifiziert.
- ▸Die spezifischen Versionen der betroffenen Software (Sandboxie, Java, Krita) sind nicht angegeben.
- ▸Die genauen Methoden, wie die Angreifer die schädlichen DLLs auf die Systeme bringen, sind nicht detailliert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„modifizierte Meterpreter-Shells“
„Die Bedrohungsgruppe BRONZE SANDCASTLE setzt modifizierte Meterpreter-Shells ein, indem sie DLL-Sideloading nutzt, oft mit legitimen Sandboxie-Anwendungen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile