Zlonamerna programska oprema CastleLoader

V nenehno spreminjajoči se pokrajini kibernetskih groženj se je nov nalagalnik zlonamerne programske opreme, imenovan CastleLoader, pojavil kot pomembno orodje v arzenalu kibernetskih kriminalcev. CastleLoader, ki so ga prvič odkrili v začetku leta 2025, je hitro pridobil na veljavi zaradi svoje modularnosti, naprednih taktik izogibanja in prilagodljivosti. Raziskovalci so opazili njegovo vlogo v več kampanjah, ki uporabljajo kradljivce informacij in trojanske konje za oddaljeni dostop (RAT), zaradi česar je vse bolj zaskrbljujoč v ekosistemu zlonamerne programske opreme kot storitve (MaaS).

Vsestranskost v praksi: Močno orodje za distribucijo

CastleLoader se uporablja za dostavo širokega nabora zlonamernih koristnih vsebin, vključno z:

• Kradljivci informacij: DeerStealer, RedLine, StealC
• Trojanci za oddaljeni dostop (RAT): NetSupport RAT, SectopRAT

Zaradi svoje modularne strukture lahko CastleLoader služi tako kot začetni nalagalnik kot tudi kot nalagalnik druge stopnje, kar napadalcem omogoča ločitev vektorja okužbe od koristnega tovora. Ta ločitev otežuje odkrivanje in odzivanje, zaradi česar je atribucija bistveno težja.

Zatemnitev in izmikanje: Biti korak pred drugimi

CastleLoader uporablja več naprednih tehnik, da se izogne odkrivanju in ovira analizo:

• Vbrizgavanje in pakiranje mrtve kode za prikrivanje njene prave funkcionalnosti.
• Razpakiranje med izvajanjem za odložitev izvajanja, dokler se ne izognemo začetnim slojem skeniranja.
• Ukrepi proti peskovniku in zatemnitev, primerljivi s sofisticiranimi nalagalniki, kot sta SmokeLoader in IceID.

Ko je razpakirano, se nalagalnik poveže s svojim strežnikom Command-and-Control (C2), prenese dodatne module in začne njihovo izvajanje. Koristni tovor se običajno dostavi kot prenosljive izvršljive datoteke, vdelane z shellcode, ki zažene osnovne rutine nalagalnika.

Taktike in tehnike: Prevara v svojem bistvu

Kampanje, ki uporabljajo CastleLoader, se močno zanašajo na socialni inženiring, zlasti:

Napadi lažnega predstavljanja s temo ClickFix
Žrtve so prek zastrupljenih rezultatov iskanja v Googlu zvabljene na zlonamerne domene, ki se maskirajo kot platforme za videokonference, posodobitve brskalnikov, knjižnice razvijalcev ali portali za preverjanje dokumentov. Te strani vsebujejo lažna sporočila o napakah ali pozive CAPTCHA, ki uporabnikom naročijo, naj izvedejo ukaze PowerShell, s čimer nevede sprožijo okužbo. Napadi ClickFix so postali razširjena tehnika, ki so jo sprejele številne hekerske skupine.

Lažni repozitoriji GitHub
CastleLoader se širi tudi prek repozitorijev, ki posnemajo legitimna orodja z odprto kodo. Nič hudega sluteči razvijalci lahko iz teh repozitorijev zaženejo na videz zaupanja vredne namestitvene skripte in nevede okužijo svoje sisteme. Ta taktika izkorišča domnevno legitimnost GitHuba in običajno zaupanje razvijalcev v odprte repozitorije.

Te strategije odražajo tehnike, ki jih pogosto uporabljajo posredniki za začetni dostop (IAB), in krepijo položaj CastleLoaderja znotraj širše dobavne verige kibernetskega kriminala.

Prekrivanje kampanj in širjenje dosega

Raziskovalci so dokumentirali uporabo orodij CastleLoader in DeerStealer v različnih kampanjah, pri čemer so ugotovili, da so bile nekatere različice orodij Hijack Loader dostavljene prek obeh orodij. Čeprav se akterji grožnje, ki stojijo za posameznimi kampanjami, lahko razlikujejo, prekrivajoča se uporaba nalagalnikov kaže na skupen ekosistem ali model storitev med skupinami kibernetskega kriminala.

Od maja 2025 naprej je bilo opaženo, da CastleLoader uporablja sedem edinstvenih strežnikov C2, pri čemer je bilo zabeleženih 1634 poskusov okužbe. Od teh je bilo 469 naprav uspešno ogroženih, kar je pomenilo 28,7-odstotno stopnjo uspešnosti okužbe.

Infrastruktura, ki stoji za grožnjo

Infrastruktura C2, ki podpira CastleLoader, je izjemno robustna. Njena spletna nadzorna plošča omogoča centraliziran nadzor nad okuženimi sistemi, kar odraža funkcije, ki jih najdemo v platformah za zlonamerno programsko opremo kot storitev. To kaže na izkušeno in organizirano delovanje, ki stoji za razvojem in uvajanjem nalagalnika.

Ključni zaključki: Naraščajoča grožnja CastleLoaderja

CastleLoader ni le nalagalnik, temveč je strateški omogočevalec širših kampanj zlonamerne programske opreme.

Zaradi modularne zasnove, funkcij proti analizi in raznolikih taktik izvajanja je odlično orodje za akterje, ki iščejo prilagodljivost in prikritost.

Z zlorabo zaupanja vrednih platform, kot je GitHub, in izkoriščanjem vedenja uporabnikov s socialnim inženiringom CastleLoader poudarja potrebo po večji budnosti in obrambnih strategijah tako v podjetniškem kot razvijalskem okolju.

Ker se ta grožnja še naprej razvija, morajo zagovorniki ostati pozorni na nove taktike in okrepiti obrambo pred zlonamernimi programi, ki delujejo v ozadju in spodbujajo obsežno kibernetsko kriminaliteto.