China-Aligned Bronze Sandcastle Abuses Sandboxie DLL Sideloading to Deploy Backdoors

핵심 요약

Bronze Sandcastle이라는 중국 연계 위협 그룹이 샌드박시(Sandboxie) DLL 사이드 로딩 기법을 악용하여 백도어를 배포하는 새로운 공격 동향이 발견되었습니다. 이 공격은 합법적인 소프트웨어인 샌드박시(Sandboxie)의 DLL 사이드 로딩 취약점을 활용하여 악성 DLL을 로드하고, 이를 통해 시스템에 지속적인 접근을 확보하는 기법을 사용합니다. 이는 MITRE ATT&CK의 T1554(Compromise Host Software Binary) 및 T1218(System Binary Proxy Execution) 전술과 연관됩니다. IT 감사인은 이러한 새로운 공격 기법에 대한 조직의 탐지 및 대응 역량을 점검하고, 소프트웨어 공급망 보안 및 엔드포인트 보호 대책의 실효성을 평가해야 합니다.

개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR)의 탐지 규칙을 고도화하여 DLL 사이드 로딩, 특히 합법적인 소프트웨어의 프로세스에서 발생하는 비정상적인 DLL 로딩 행위를 탐지하고 차단할 수 있도록 적용해야 함을 권고함.
• ✔기술적 조치소프트웨어 배포 및 업데이트 시 디지털 서명 검증, 해시 값 비교 등 무결성 검증 절차를 강화하고, 변조된 바이너리 파일의 실행을 방지하기 위한 기술적 통제를 적용해야 함을 권고함.
• ✔관리적 조치최신 위협 인텔리전스(특히 아시아 지역을 대상으로 하는 중국 연계 위협 그룹의 TTP)를 주기적으로 수집하고, 이를 조직의 위협 모델링 및 보안 시스템(SIEM, EDR 등)의 탐지 규칙에 적시에 반영하는 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 DLL 사이드 로딩과 같은 최신 공격 기법 및 사회공학적 공격에 대한 보안 인식을 제고하고, 의심스러운 파일 실행 및 소프트웨어 설치에 대한 주의를 교육할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기