Programari maliciós CastleLoader

En el panorama en constant evolució de les amenaces cibernètiques, un nou carregador de programari maliciós anomenat CastleLoader ha emergit com una eina important en els arsenals dels ciberdelinqüents. Detectat per primera vegada a principis del 2025, CastleLoader ha guanyat ràpidament força a causa de la seva modularitat, tàctiques d'evasió avançades i adaptabilitat. Els investigadors han observat el seu paper en múltiples campanyes que implementen lladres d'informació i troians d'accés remot (RAT), cosa que el converteix en una preocupació creixent en l'ecosistema de programari maliciós com a servei (MaaS).

Versatilitat en acció: una potent eina de distribució

CastleLoader s'ha utilitzat per lliurar una àmplia gamma de càrregues útils malicioses, incloent:

• Lladres d'informació: DeerStealer, RedLine, StealC
• Troians d'accés remot (RAT): NetSupport RAT, SectopRAT

La seva estructura modular permet que CastleLoader serveixi tant com a carregador inicial com a carregador de segona etapa, permetent als atacants desacoblar el vector d'infecció de la càrrega útil. Aquesta separació complica els esforços de detecció i resposta, fent que l'atribució sigui significativament més difícil.

Ofuscació i evasió: un pas per davant

CastleLoader utilitza diverses tècniques avançades per evitar la detecció i dificultar l'anàlisi:

• Injecció i empaquetament de codi mort per ocultar la seva veritable funcionalitat.
• Desempaquetament en temps d'execució per retardar l'execució fins després d'haver evadit les capes d'escaneig inicials.
• Mesures anti-sandboxing i ofuscació, comparables a carregadors sofisticats com SmokeLoader i IceID.

Un cop desempaquetat, el carregador es connecta al seu servidor de comandament i control (C2), descarrega mòduls addicionals i inicia la seva execució. Les càrregues útils es lliuren normalment com a executables portàtils integrats amb shellcode, que inicia les rutines principals del carregador.

Tàctiques i tècniques: l’engany al centre

Les campanyes que utilitzen CastleLoader es basen en gran mesura en l'enginyeria social, en particular:

Atacs de phishing amb temàtica ClickFix
Les víctimes són atretes a dominis maliciosos, que es fan passar per plataformes de videoconferència, actualitzacions del navegador, biblioteques de desenvolupadors o portals de verificació de documents, a través de resultats de cerca de Google enverinats. Aquestes pàgines contenen missatges d'error falsos o indicacions CAPTCHA que indiquen als usuaris que executin ordres de PowerShell, iniciant la infecció sense saber-ho. Els atacs de ClickFix s'han convertit en una tècnica generalitzada adoptada per nombrosos grups de pirates informàtics.

Repositoris falsos de GitHub
CastleLoader també es propaga a través de repositoris que imiten eines de codi obert legítimes. Els desenvolupadors desprevinguts poden executar scripts d'instal·lació aparentment fiables des d'aquests repositoris, infectant sense voler els seus sistemes. Aquesta tàctica aprofita la legitimitat percebuda de GitHub i la confiança habitual dels desenvolupadors en els repositoris oberts.

Aquestes estratègies reflecteixen les tècniques que utilitzen habitualment els agents d'accés inicial (IAB), cosa que reforça la posició de CastleLoader dins d'una cadena de subministrament ciberdelinqüent més àmplia.

Campanyes superposades i ampliació de l’abast

Els investigadors han documentat l'ús entre campanyes de CastleLoader i DeerStealer, i han assenyalat que algunes variants de Hijack Loader es van lliurar a través de les dues eines. Si bé els actors d'amenaces darrere de cada campanya poden diferir, l'ús superposat dels carregadors indica un ecosistema o model de servei compartit entre els grups de ciberdelinqüents.

Des del maig de 2025, s'ha observat que CastleLoader utilitza set servidors C2 únics, amb 1.634 intents d'infecció registrats. D'aquests, 469 dispositius es van comprometre amb èxit, cosa que va resultar en una taxa d'èxit d'infecció del 28,7%.

La infraestructura darrere de l’amenaça

La infraestructura C2 que suporta CastleLoader és notablement robusta. El seu panell web associat proporciona un control centralitzat sobre els sistemes infectats, reflectint les característiques que es troben a les plataformes de programari maliciós com a servei. Això indica una operació experimentada i organitzada darrere del desenvolupament i desplegament del carregador.

Conclusions clau: l’amenaça creixent de CastleLoader

CastleLoader no és només un carregador, sinó que és un facilitador estratègic de campanyes de programari maliciós més àmplies.

El seu disseny modular, les funcions antianàlisi i les diverses tàctiques de lliurament el converteixen en una eina principal per als actors d'amenaces que busquen flexibilitat i sigil.

En abusar de plataformes de confiança com GitHub i explotar el comportament dels usuaris mitjançant l'enginyeria social, CastleLoader subratlla la necessitat de millorar la vigilància i les estratègies defensives tant en entorns empresarials com de desenvolupadors.

A mesura que aquesta amenaça continua evolucionant, els defensors han d'estar alerta a les noves tàctiques i enfortir les defenses contra els carregadors que operen entre bastidors per alimentar la ciberdelinqüència a gran escala.