CastleLoader-malware

In het steeds veranderende landschap van cyberdreigingen is een nieuwe malwareloader, CastleLoader genaamd, uitgegroeid tot een belangrijk hulpmiddel in het arsenaal van cybercriminelen. CastleLoader, voor het eerst ontdekt begin 2025, heeft snel aan populariteit gewonnen dankzij zijn modulariteit, geavanceerde ontwijkingsmethoden en aanpasbaarheid. Onderzoekers hebben de rol ervan onderzocht in meerdere campagnes die informatiedieven en Remote Access Trojans (RAT's) inzetten, waardoor het een groeiende zorg is geworden in het malware-as-a-service (MaaS)-ecosysteem.

Veelzijdigheid in actie: een krachtig distributie-instrument

CastleLoader wordt gebruikt om een breed scala aan schadelijke payloads te verspreiden, waaronder:

• Informatiedieven: DeerStealer, RedLine, StealC
• Remote Access Trojans (RAT's): NetSupport RAT, SectopRAT

Dankzij de modulaire structuur kan CastleLoader zowel als initiële dropper als tweede-fase loader dienen, waardoor aanvallers de infectievector van de payload kunnen loskoppelen. Deze scheiding bemoeilijkt detectie- en reactie-inspanningen, waardoor attributie aanzienlijk moeilijker wordt.

Verduistering en ontwijking: een stap voor blijven

CastleLoader maakt gebruik van diverse geavanceerde technieken om detectie en hinderanalyse te vermijden:

• Injectie en verpakking van dode code om de ware functionaliteit te verhullen.
• Uitpakken tijdens runtime om de uitvoering uit te stellen totdat de eerste scan-lagen zijn omzeild.
• Anti-sandboxing-maatregelen en verduistering, vergelijkbaar met geavanceerde loaders zoals SmokeLoader en IceID.

Na het uitpakken maakt de loader verbinding met zijn Command-and-Control (C2)-server, downloadt aanvullende modules en start de uitvoering ervan. De payloads worden doorgaans geleverd als draagbare uitvoerbare bestanden met shellcode, die de kernroutines van de loader starten.

Tactieken en technieken: bedrog in de kern

De campagnes die CastleLoader gebruiken, zijn sterk afhankelijk van social engineering, met name:

Phishingaanvallen met ClickFix-thema
Slachtoffers worden via vergiftigde Google-zoekresultaten naar kwaadaardige domeinen gelokt, die zich voordoen als videoconferentieplatforms, browserupdates, ontwikkelaarsbibliotheken of portals voor documentverificatie. Deze pagina's bevatten valse foutmeldingen of CAPTCHA-prompts die gebruikers instrueren om PowerShell-opdrachten uit te voeren, waardoor de infectie onbewust wordt geïnitieerd. ClickFix-aanvallen zijn een wijdverspreide techniek geworden die door talloze hackersgroepen wordt gebruikt.

Nep GitHub-repositories
CastleLoader verspreidt zich ook via repositories die legitieme open-sourcetools nabootsen. Onwetende ontwikkelaars kunnen schijnbaar betrouwbare installatiescripts vanuit deze repositories uitvoeren en zo onbedoeld hun systemen infecteren. Deze tactiek speelt in op de vermeende legitimiteit van GitHub en het vertrouwde vertrouwen van ontwikkelaars in open repositories.

Deze strategieën weerspiegelen technieken die doorgaans worden gebruikt door Initial Access Brokers (IAB's) en versterken de positie van CastleLoader binnen de bredere toeleveringsketen voor cybercriminelen.

Overlappende campagnes en groter bereik

Onderzoekers hebben het gebruik van CastleLoader en DeerStealer in verschillende campagnes gedocumenteerd en opgemerkt dat sommige varianten van Hijack Loader via beide tools werden verspreid. Hoewel de dreigingsactoren achter elke campagne kunnen verschillen, wijst het overlappende gebruik van loaders op een gedeeld ecosysteem of servicemodel tussen cybercriminele groepen.

Vanaf mei 2025 is CastleLoader waargenomen op zeven unieke C2-servers, met 1634 geregistreerde infectiepogingen. Hiervan werden 469 apparaten succesvol gecompromitteerd, wat resulteerde in een infectiesuccespercentage van 28,7%.

De infrastructuur achter de dreiging

De C2-infrastructuur die CastleLoader ondersteunt, is bijzonder robuust. Het bijbehorende webgebaseerde paneel biedt gecentraliseerde controle over geïnfecteerde systemen, vergelijkbaar met functies die te vinden zijn op malware-as-a-service-platforms. Dit wijst op een ervaren en georganiseerde operatie achter de ontwikkeling en implementatie van de loader.

Belangrijkste punten: de groeiende dreiging voor CastleLoader

CastleLoader is niet alleen een loader, het is een strategische ondersteuning voor bredere malwarecampagnes.

Dankzij het modulaire ontwerp, de anti-analysefuncties en de diverse afleveringsmethoden is dit een belangrijk hulpmiddel voor kwaadwillenden die op zoek zijn naar flexibiliteit en stealth.

Door misbruik te maken van vertrouwde platformen als GitHub en het gedrag van gebruikers uit te buiten via social engineering, onderstreept CastleLoader de noodzaak van verhoogde waakzaamheid en verdedigingsstrategieën in zowel zakelijke als ontwikkelaarsomgevingen.

Naarmate deze dreiging zich verder ontwikkelt, moeten verdedigers alert blijven op nieuwe tactieken en hun verdediging tegen cybercriminelen die achter de schermen actief zijn en grootschalige cybercriminaliteit mogelijk maken, versterken.