[해외보안뉴스] 중국 연계 해커 그룹 'Bronze Sandcastle', Sandboxie DLL 사이드로딩 악용해 백도어 유포
· 2026-10-21 13:00
· 조회 8
· 원문 ↗
최근 보안 연구원들이 2025년 중반부터 활동해 온 것으로 추정되는 중국 연계 위협 그룹 'Bronze Sandcastle'의 공격 정황을 공개했습니다. 보안 전문 기업 소포스(Sophos)에 따르면, 이 위협 그룹의 가장 두드러진 기술적 특징은 격리 프로그램인 'Sandboxie'의 정상 파일과 악성 파일의 연동을 악용하는 DLL 사이드로딩(DLL Sideloading) 기법을 지속적으로 사용하여 악성 백도어를 배치한다는 점입니다.
Bronze Sandcastle의 주요 공격 대상은 아시아 및 아프리카 지역의 기업 및 정부 기관입니다. 이들은 보안 탐지를 우회하기 위해 정식 서명된 Sandboxie 실행 파일과 동일한 디렉터리에 악성 DLL을 배치하여, 정상 프로세스가 실행될 때 악성 코드가 함께 로드되도록 유도했습니다. 이를 통해 시스템에 백도어를 설치하고 내부 네트워크에서 지속적인 거점을 확보한 뒤 정찰 및 정보 탈취를 시도하는 것으로 파악됩니다.
이러한 형태의 공격을 방지하기 위해 보안 관리자는 조직 내에서 인가되지 않은 Sandboxie 관련 프로세스의 실행을 모니터링하고 제한해야 합니다. 또한 정상적인 시스템 바이너리나 응용 프로그램이 비정상적인 디렉터리에서 실행되거나 예상치 못한 DLL을 로드하는 행위를 탐지할 수 있도록 엔드포인트 탐지 및 대응(EDR) 솔루션의 규칙을 강화해야 합니다.
♥ 추천 0
신뢰받는 유틸리티(Sandboxie)마저 DLL Search Order Hijacking 공격에 악용되는 것을 보니, 전형적이지만 여전히 방심할 수 없는 위협입니다.
개발 단계에서
LoadLibrary사용 시 절대 경로를 명시하거나SetDefaultDllDirectoriesAPI를 적용해 DLL 탐색 경로를 엄격히 제한하는 패치가 시급합니다.아울러 서드파티 바이너리를 활용할 때는 설치 디렉터리의 ACL 권한을 강화하여, 일반 사용자 권한으로 임의의 DLL이 드롭되는 환경 자체를 차단하는 아키텍처적 방어가 병행되어야 합니다.
보안 격리 도구인 Sandboxie의 정상 프로세스를 역으로 이용해 DLL 사이드로딩을 수행한 점이 공격 관점에서 매우 위협적입니다. 신뢰할 수 있는 실행 파일을 매개체로 삼으면 EDR 탐지 회피는 물론 백도어의 초기 정착 성공률을 극대화할 수 있습니다. 서드파티 프로그램의 DLL 로딩 검증 미흡을 노린 이러한 기법은 레드팀 침투 시나리오에서도 여전히 유효한 고효율 공격 벡터입니다.
정상 프로그램을 악용한 DLL 사이드로딩 기법은 기존 보안 솔루션을 무력화할 수 있어 아시아 지역 내 기업들의 즉각적인 리스크 점검이 필요합니다.
단순히 허가된 소프트웨어 목록만 관리하는 방식을 넘어, 인가된 애플리케이션의 비정상적인 행위까지 감시할 수 있도록 EDR 탐지 정책과 사내 응용프로그램 통제 지침을 신속히 재정비해야 합니다.
지능형 위협(APT) 공격 그룹의 우회 기법이 다변화되는 만큼, 최신 위협 지능(TI)을 반영한 상시 모니터링 및 대응 체계를 강화하겠습니다.