CastleLoader-malware

I det stadigt udviklende landskab af cybertrusler er en ny malware-loader kaldet CastleLoader dukket op som et vigtigt værktøj i cyberkriminelles arsenaler. CastleLoader, der først blev opdaget i begyndelsen af 2025, har hurtigt vundet frem på grund af sin modularitet, avancerede undvigelsestaktikker og tilpasningsevne. Forskere har observeret dens rolle i flere kampagner, der anvender informationstyveri og fjernadgangstrojanere (RAT'er), hvilket gør den til en voksende bekymring i malware-as-a-service (MaaS) økosystemet.

Alsidighed i praksis: Et kraftfuldt distributionsværktøj

CastleLoader er blevet brugt til at levere en bred vifte af ondsindede nyttelaster, herunder:

• Informationstyvere: DeerStealer, RedLine, StealC
• Fjernadgangstrojanere (RAT'er): NetSupport RAT, SectopRAT

Dens modulære struktur gør det muligt for CastleLoader at fungere som både en initial dropper og en second-stage loader, hvilket gør det muligt for angribere at afkoble infektionsvektoren fra nyttelasten. Denne adskillelse komplicerer detektions- og responsindsatsen, hvilket gør tilskrivning betydeligt vanskeligere.

Forvirring og undvigelse: At være et skridt foran

CastleLoader bruger adskillige avancerede teknikker til at undgå detektion og hindre analyse:

• Død kodeindsprøjtning og pakning for at skjule dens sande funktionalitet.
• Udpakning under kørsel for at forsinke udførelsen, indtil de indledende scanningslag er omgået.
• Anti-sandboxing-foranstaltninger og obfuskation, sammenlignelige med sofistikerede loadere som SmokeLoader og IceID.

Når den er udpakket, kontakter loaderen sin Command-and-Control (C2) server, downloader yderligere moduler og starter deres udførelse. Nyttelastene leveres typisk som bærbare eksekverbare filer indlejret med shellcode, som starter loaderens kernerutiner.

Taktik og teknikker: Bedrag i sin kerne

Kampagnerne, der bruger CastleLoader, er i høj grad afhængige af social engineering, især:

ClickFix-tema phishing-angreb
Ofre lokkes til ondsindede domæner, der udgiver sig for at være videokonferenceplatforme, browseropdateringer, udviklerbiblioteker eller dokumentverifikationsportaler, via forgiftede Google-søgeresultater. Disse sider indeholder falske fejlmeddelelser eller CAPTCHA-prompter, der instruerer brugerne i at udføre PowerShell-kommandoer, hvilket ubevidst starter infektionen. ClickFix-angreb er blevet en udbredt teknik, der er blevet anvendt af adskillige hackergrupper.

Falske GitHub-lagre
CastleLoader spredes også gennem databaser, der efterligner legitime open source-værktøjer. Intetanende udviklere kan køre tilsyneladende troværdige installationsskripter fra disse databaser og uforvarende inficere deres systemer. Denne taktik udnytter den opfattede legitimitet af GitHub og udviklernes sædvanlige tillid til åbne databaser.

Disse strategier afspejler teknikker, der almindeligvis anvendes af Initial Access Brokers (IAB'er), og styrker CastleLoaders position inden for en bredere forsyningskæde for cyberkriminelle.

Overlappende kampagner og udvidelse af rækkevidde

Forskere har dokumenteret brugen af CastleLoader og DeerStealer på tværs af kampagner og bemærket, at nogle varianter af Hijack Loader blev leveret via begge værktøjer. Selvom trusselsaktørerne bag hver kampagne kan være forskellige, indikerer den overlappende brug af loadere et fælles økosystem eller en fælles servicemodel blandt cyberkriminelle grupper.

Fra maj 2025 og fremefter er CastleLoader blevet observeret ved at bruge syv unikke C2-servere, med 1.634 registrerede infektionsforsøg. Ud af disse blev 469 enheder kompromitteret, hvilket resulterede i en succesrate på 28,7 %.

Infrastrukturen bag truslen

C2-infrastrukturen, der understøtter CastleLoader, er bemærkelsesværdigt robust. Det tilhørende webbaserede panel giver centraliseret kontrol over inficerede systemer, hvilket minder om funktioner, der findes i malware-as-a-service-platforme. Dette peger på en erfaren og organiseret operation bag loaderens udvikling og implementering.

Vigtige konklusioner: CastleLoaders voksende trussel

CastleLoader er ikke bare en loader, det er en strategisk muliggørende faktor for bredere malwarekampagner.

Dets modulære design, anti-analysefunktioner og forskellige leveringstaktikker gør det til et førsteklasses værktøj for trusselsaktører, der søger fleksibilitet og stealth.

Ved at misbruge betroede platforme som GitHub og udnytte brugeradfærd gennem social engineering understreger CastleLoader behovet for øget årvågenhed og defensive strategier i både virksomheds- og udviklermiljøer.

Efterhånden som denne trussel fortsætter med at udvikle sig, skal forsvarere forblive opmærksomme på nye taktikker og styrke forsvaret mod hackere, der opererer bag kulisserne for at drive storstilet cyberkriminalitet.