CastleLoader 맬웨어

끊임없이 진화하는 사이버 위협 환경 속에서, 캐슬로더(CastleLoader)라는 새로운 악성코드 로더가 사이버 범죄자들의 주요 도구로 부상했습니다. 2025년 초 처음 발견된 캐슬로더는 모듈성, 고도화된 우회 전략, 그리고 뛰어난 적응성으로 빠르게 주목을 받고 있습니다. 연구원들은 정보 탈취 공격과 원격 액세스 트로이 목마(RAT)를 배포하는 여러 공격에서 캐슬로더가 중요한 역할을 하는 것을 관찰했으며, 이로 인해 서비스형 악성코드(MaaS) 생태계에서 캐슬로더의 위협이 커지고 있습니다.

다재다능한 활용: 강력한 배포 도구

CastleLoader는 다음을 포함한 광범위한 악성 페이로드를 전달하는 데 사용되었습니다.

• 정보 도둑: DeerStealer, RedLine, StealC
• 원격 액세스 트로이 목마(RAT): NetSupport RAT, SectopRAT

모듈형 구조 덕분에 CastleLoader는 초기 드로퍼와 2단계 로더 역할을 모두 수행하여 공격자가 감염 벡터와 페이로드를 분리할 수 있도록 합니다. 이러한 분리는 탐지 및 대응 작업을 복잡하게 만들고, 결과적으로 악성코드의 원인 규명을 훨씬 어렵게 만듭니다.

난독화와 회피: 한발 앞서 나가기

CastleLoader는 탐지를 피하고 분석을 방해하기 위해 여러 가지 고급 기술을 사용합니다.

• 쓸모없는 코드를 주입하고 패킹하여 실제 기능을 흐리게 만듭니다.
• 초기 스캐닝 계층을 회피한 후까지 실행을 지연하기 위한 런타임 압축 해제.
• SmokeLoader 및 IceID와 같은 정교한 로더와 비슷한 샌드박싱 방지 조치 및 난독화.

압축이 해제되면 로더는 명령 및 제어(C2) 서버에 접속하여 추가 모듈을 다운로드하고 실행을 시작합니다. 페이로드는 일반적으로 셸코드가 내장된 이동식 실행 파일로 제공되며, 셸코드는 로더의 핵심 루틴을 실행합니다.

전술과 기술: 핵심에 있는 기만

CastleLoader를 사용하는 캠페인은 특히 다음과 같은 소셜 엔지니어링에 크게 의존합니다.

ClickFix 테마 피싱 공격
피해자들은 악성 Google 검색 결과를 통해 화상 회의 플랫폼, 브라우저 업데이트, 개발자 라이브러리 또는 문서 검증 포털로 위장한 악성 도메인으로 유인됩니다. 이러한 페이지에는 사용자에게 PowerShell 명령을 실행하도록 유도하는 가짜 오류 메시지나 CAPTCHA 프롬프트가 포함되어 있어 자신도 모르게 감염을 유발합니다. ClickFix 공격은 수많은 해커 그룹이 널리 사용하는 기법이 되었습니다.

가짜 GitHub 저장소
CastleLoader는 합법적인 오픈소스 도구를 모방한 저장소를 통해 확산됩니다. 의심하지 않는 개발자는 이러한 저장소에서 겉보기에 신뢰할 수 있는 설치 스크립트를 실행하여 자신도 모르게 시스템을 감염시킬 수 있습니다. 이러한 전략은 GitHub의 합법적인 인식과 개발자들이 오픈소스 저장소를 습관적으로 신뢰한다는 점을 악용합니다.

이러한 전략은 초기 접근 브로커(IAB)에서 일반적으로 사용되는 기술을 반영하며, 더 광범위한 사이버범죄 공급망 내에서 CastleLoader의 입지를 강화합니다.

중복된 캠페인과 확장된 도달 범위

연구원들은 CastleLoader와 DeerStealer가 여러 캠페인에서 동시에 사용되었음을 기록했으며, Hijack Loader의 일부 변종이 두 도구를 모두 통해 유포되었음을 확인했습니다. 각 캠페인의 배후에 있는 위협 행위자는 다를 수 있지만, 로더의 중복 사용은 사이버 범죄 조직 간에 공통된 생태계 또는 서비스 모델이 존재함을 시사합니다.

2025년 5월부터 CastleLoader는 7개의 고유한 C2 서버를 사용하는 것으로 관찰되었으며, 1,634건의 감염 시도가 기록되었습니다. 이 중 469대의 장치가 성공적으로 감염되어 감염 성공률은 28.7%였습니다.

위협 뒤에 숨은 인프라

CastleLoader를 지원하는 C2 인프라는 매우 강력합니다. 관련 웹 기반 패널은 감염된 시스템에 대한 중앙 집중식 제어 기능을 제공하며, 이는 서비스형 맬웨어(MaaS) 플랫폼에서 제공하는 기능과 유사합니다. 이는 CastleLoader의 개발 및 배포 과정에서 숙련되고 체계적인 운영이 이루어졌음을 시사합니다.

주요 내용: CastleLoader의 증가하는 위협

CastleLoader는 단순한 로더가 아니라, 더 광범위한 맬웨어 캠페인을 전략적으로 가능하게 하는 도구입니다.

모듈식 설계, 분석 방지 기능, 다양한 전달 전략 덕분에 유연성과 은밀성을 추구하는 위협 행위자에게 가장 적합한 도구입니다.

CastleLoader는 GitHub와 같은 신뢰할 수 있는 플랫폼을 악용하고 소셜 엔지니어링을 통해 사용자 행동을 악용함으로써 기업과 개발자 환경 모두에서 강화된 경계와 방어 전략의 필요성을 강조합니다.

이러한 위협이 계속해서 진화함에 따라, 방어자는 새로운 전술에 항상 주의를 기울이고 대규모 사이버 범죄를 실행하기 위해 배후에서 활동하는 로더에 대한 방어를 강화해야 합니다.