CastleLoader pahavara

Küberohtude pidevalt muutuvas maastikus on uus pahavaralaadur nimega CastleLoader kerkinud küberkurjategijate arsenalis oluliseks tööriistaks. Esmakordselt 2025. aasta alguses avastatud CastleLoader on oma modulaarsuse, täiustatud põgenemistaktikate ja kohanemisvõime tõttu kiiresti populaarsust kogunud. Teadlased on täheldanud selle rolli mitmetes kampaaniates, mis kasutavad teabevargaid ja kaugjuurdepääsuga troojalasi (RAT), muutes selle kasvavaks probleemiks pahavara teenusena (MaaS) ökosüsteemis.

Mitmekülgsus tegevuses: võimas levitamise tööriist

CastleLoaderit on kasutatud laia valiku pahatahtlike koormuste edastamiseks, sealhulgas:

• Infovarastajad: DeerStealer, RedLine, StealC
• Kaugjuurdepääsuga troojalased (RAT-id): NetSupport RAT, SectopRAT

Selle modulaarne struktuur võimaldab CastleLoaderil toimida nii esmase laadijana kui ka teise etapi laadijana, võimaldades ründajatel nakkusvektori kasulikust koormusest eraldada. See eraldamine raskendab tuvastamist ja reageerimist, muutes omistamise oluliselt raskemaks.

Varjamine ja kõrvalehoidmine: sammu võrra ees püsimine

CastleLoader kasutab tuvastamise vältimiseks ja analüüsi takistamiseks mitmeid täiustatud tehnikaid:

• Surnud koodi süstimine ja pakkimine selle tegeliku funktsionaalsuse varjamiseks.
• Käitusaegne lahtipakkimine, et viivitada täitmist kuni esialgsete skaneerimiskihtide läbimiseni.
• Liivakastivastased meetmed ja hägustamine, võrreldavad keerukate laaduritega nagu SmokeLoader ja IceID.

Pärast lahtipakkimist võtab laadur ühendust oma Command-and-Control (C2) serveriga, laadib alla täiendavad moodulid ja algatab nende täitmise. Koeguldused edastatakse tavaliselt kaasaskantavate käivitatavate failidena, mis on manustatud kestakoodiga, mis käivitab laaduri põhirutiinid.

Taktikad ja tehnikad: pettuse tuum

CastleLoaderit kasutavad kampaaniad tuginevad suuresti sotsiaalsele manipuleerimisele, eriti:

ClickFix-teemalised andmepüügirünnakud
Ohvreid meelitatakse mürgitatud Google'i otsingutulemuste kaudu pahatahtlikele domeenidele, mis maskeeruvad videokonverentsiplatvormideks, brauserivärskendusteks, arendajate teekideks või dokumentide kontrollimise portaalideks. Need lehed sisaldavad võltsitud veateateid või CAPTCHA-viipasid, mis käsivad kasutajatel PowerShelli käske täita, algatades teadmatult nakatumise. ClickFixi rünnakutest on saanud laialt levinud tehnika, mida kasutavad arvukad häkkerirühmitused.

Võltsitud GitHubi hoidlad
CastleLoader levib ka repositooriumide kaudu, mis matkivad legitiimseid avatud lähtekoodiga tööriistu. Kahtlematud arendajad võivad nendest repositooriumidest käivitada pealtnäha usaldusväärseid installiskripte, nakatades teadmatult oma süsteeme. See taktika kasutab ära GitHubi tajutavat legitiimsust ja arendajate harjumuspärast usaldust avatud repositooriumide vastu.

Need strateegiad peegeldavad esmase juurdepääsu vahendajate (IAB) poolt tavaliselt kasutatavaid tehnikaid, tugevdades CastleLoaderi positsiooni laiemas küberkuritegevuse tarneahelas.

Kattuvad kampaaniad ja ulatuse laiendamine

Teadlased on dokumenteerinud CastleLoaderi ja DeerStealeri kampaaniatevahelist kasutamist, märkides, et mõningaid Hijack Loaderi variante levitati mõlema tööriista kaudu. Kuigi iga kampaania taga olevad ohutegijad võivad erineda, viitab laadurite kattuv kasutamine küberkurjategijate rühmituste ühisele ökosüsteemile või teenusmudelile.

Alates 2025. aasta maist on CastleLoaderit täheldatud seitsme unikaalse C2 serveri kasutamisel ning registreeritud on 1634 nakatumiskatset. Neist 469 seadet nakatati edukalt, mille tulemuseks on nakatumise edukuse määr 28,7%.

Ohu taga olev infrastruktuur

CastleLoaderit toetav C2 infrastruktuur on märkimisväärselt tugev. Sellega seotud veebipõhine paneel pakub tsentraliseeritud kontrolli nakatunud süsteemide üle, kajastades pahavara-teenusena platvormidel leiduvaid funktsioone. See viitab laaduri arendamise ja juurutamise taga olevale kogenud ja organiseeritud tegevusele.

Peamised järeldused: CastleLoaderi kasvav oht

CastleLoader ei ole lihtsalt laadur, vaid ka laiemate pahavarakampaaniate strateegiline võimaldaja.

Selle modulaarne disain, analüüsivastased funktsioonid ja mitmekesised edastustaktikad teevad sellest suurepärase tööriista ohutegelastele, kes otsivad paindlikkust ja varjatust.

Kuritarvitades usaldusväärseid platvorme nagu GitHub ja ära kasutades kasutajate käitumist sotsiaalse manipuleerimise abil, rõhutab CastleLoader vajadust suurenenud valvsuse ja kaitsestrateegiate järele nii ettevõtte- kui ka arendajakeskkondades.

Kuna see oht areneb pidevalt, peavad kaitsjad olema valvsad uute taktikate suhtes ja tugevdama kaitset laadurite vastu, kes tegutsevad kulisside taga, et toetada ulatuslikku küberkuritegevust.