CastleLoader-Malware

In der sich ständig weiterentwickelnden Landschaft der Cyberbedrohungen hat sich ein neuer Malware-Loader namens CastleLoader als wichtiges Werkzeug im Arsenal von Cyberkriminellen herauskristallisiert. CastleLoader wurde erstmals Anfang 2025 entdeckt und hat aufgrund seiner Modularität, seiner fortschrittlichen Ausweichtaktiken und seiner Anpassungsfähigkeit schnell an Bedeutung gewonnen. Forscher haben seine Rolle in mehreren Kampagnen beobachtet, die Informationsdiebe und Remote Access Trojaner (RATs) einsetzen, was ihn zu einem wachsenden Problem im Malware-as-a-Service (MaaS)-Ökosystem macht.

Vielseitigkeit in Aktion: Ein leistungsstarkes Vertriebstool

CastleLoader wurde verwendet, um eine breite Palette bösartiger Nutzdaten zu übermitteln, darunter:

• Informationsdiebe: DeerStealer, RedLine, StealC
• Remote Access Trojaner (RATs): NetSupport RAT, SectopRAT

Dank seiner modularen Struktur kann CastleLoader sowohl als Initial Dropper als auch als Second-Stage Loader fungieren. Angreifer können so den Infektionsvektor von der Nutzlast trennen. Diese Trennung erschwert die Erkennung und Reaktion und erschwert die Zuordnung erheblich.

Verschleierung und Umgehung: Immer einen Schritt voraus

CastleLoader verwendet mehrere fortschrittliche Techniken, um eine Erkennung zu verhindern und die Analyse zu erschweren:

• Einfügen und Packen von totem Code, um seine wahre Funktionalität zu verschleiern.
• Laufzeit-Entpacken, um die Ausführung zu verzögern, bis die ersten Scan-Ebenen umgangen sind.
• Anti-Sandboxing-Maßnahmen und Verschleierung, vergleichbar mit hochentwickelten Loadern wie SmokeLoader und IceID.

Nach dem Entpacken kontaktiert der Loader seinen Command-and-Control-Server (C2), lädt zusätzliche Module herunter und startet deren Ausführung. Die Payloads werden typischerweise als portable ausführbare Dateien mit eingebettetem Shellcode bereitgestellt, der die Kernroutinen des Loaders startet.

Taktiken und Techniken: Täuschung im Kern

Die Kampagnen, die CastleLoader verwenden, basieren stark auf Social Engineering, insbesondere:

Phishing-Angriffe mit ClickFix-Thema
Opfer werden durch manipulierte Google-Suchergebnisse auf bösartige Domains gelockt, die sich als Videokonferenzplattformen, Browser-Updates, Entwicklerbibliotheken oder Dokumentenprüfungsportale tarnen. Diese Seiten enthalten gefälschte Fehlermeldungen oder CAPTCHA-Eingabeaufforderungen, die Benutzer zur Ausführung von PowerShell-Befehlen auffordern und so unwissentlich die Infektion auslösen. ClickFix-Angriffe sind zu einer weit verbreiteten Technik geworden, die von zahlreichen Hackergruppen übernommen wird.

Gefälschte GitHub-Repositories
CastleLoader verbreitet sich auch über Repositories, die legitime Open-Source-Tools imitieren. Ahnungslose Entwickler können scheinbar vertrauenswürdige Installationsskripte aus diesen Repositories ausführen und so unwissentlich ihre Systeme infizieren. Diese Taktik nutzt die vermeintliche Legitimität von GitHub und das Vertrauen der Entwickler in offene Repositories.

Diese Strategien spiegeln die von Initial Access Brokers (IABs) häufig verwendeten Techniken wider und stärken die Position von CastleLoader innerhalb einer breiteren Lieferkette von Cyberkriminellen.

Überlappende Kampagnen und Reichweitenerweiterung

Forscher haben den kampagnenübergreifenden Einsatz von CastleLoader und DeerStealer dokumentiert und festgestellt, dass einige Varianten von Hijack Loader über beide Tools verbreitet wurden. Zwar unterscheiden sich die Angreifer hinter den einzelnen Kampagnen, doch die überlappende Nutzung der Loader deutet auf ein gemeinsames Ökosystem oder Servicemodell cyberkrimineller Gruppen hin.

Ab Mai 2025 wurde CastleLoader bei der Nutzung von sieben einzelnen C2-Servern beobachtet, wobei 1.634 Infektionsversuche verzeichnet wurden. Davon wurden 469 Geräte erfolgreich kompromittiert, was einer Infektionserfolgsrate von 28,7 % entspricht.

Die Infrastruktur hinter der Bedrohung

Die C2-Infrastruktur, die CastleLoader unterstützt, ist bemerkenswert robust. Das zugehörige webbasierte Panel bietet eine zentrale Kontrolle über infizierte Systeme und ähnelt den Funktionen von Malware-as-a-Service-Plattformen. Dies deutet auf eine erfahrene und organisierte Vorgehensweise bei der Entwicklung und Bereitstellung des Loaders hin.

Wichtige Erkenntnisse: Die wachsende Bedrohung durch CastleLoader

CastleLoader ist nicht nur ein Loader, sondern ein strategischer Wegbereiter für umfassendere Malware-Kampagnen.

Sein modulares Design, die Anti-Analyse-Funktionen und die vielfältigen Bereitstellungstaktiken machen es zu einem erstklassigen Tool für Bedrohungsakteure, die auf der Suche nach Flexibilität und Tarnung sind.

Durch den Missbrauch vertrauenswürdiger Plattformen wie GitHub und die Ausnutzung des Benutzerverhaltens durch Social Engineering unterstreicht CastleLoader die Notwendigkeit erhöhter Wachsamkeit und Abwehrstrategien sowohl in Unternehmens- als auch in Entwicklerumgebungen.

Da sich diese Bedrohung ständig weiterentwickelt, müssen Verteidiger auf der Hut vor neuen Taktiken sein und ihre Abwehrmaßnahmen gegen Loader verstärken, die im Hintergrund agieren und groß angelegte Cyberkriminalität befeuern.