合法程式也可能载入后门 Sophos 解析 DLL 侧载活动

Sophos 研究发现，攻击者把恶意元件放在合法程式旁，让程式启动时一并载入后门。软件名称或数码签章正常，仍不足以判断整个执行过程安全。

来源事实

Sophos 于 10 月 20 日公布 BRONZE SANDCASTLE 研究，描述合法 Sandboxie 程式被搭配恶意 DLL 载入后门的情况。这种 DLL 侧载，可比喻成可信的工人带进了未经核实的配件。

研究分析的事件涵盖 2025 年 8 月至 2026 年 8 月，并指出后门可收集装置及帐户资讯。攻击群组的命名和归因属 Sophos 判断，并非指 Sandboxie 官方本身散播恶意程式。

Sophos 建议检查程式载入和记忆体中的异常行为。只确认程式档名熟悉或有签章，未必看得出旁边的元件是否被替换。