Эксперты IBM X-Force раскрыли детали нового вредоносного фреймворка под названием CastleBot, который функционирует по модели Malware-as-a-Service (MaaS). Этот инструмент позволяет злоумышленникам доставлять на зараженные системы различные типы вредоносного ПО - от инфостилеров до бэкдоров, таких как NetSupport и WarmCookie, которые ранее связывались с атаками ransomware.
Описание
Методы распространения и структура CastleBot
Основным вектором заражения стали троянизированные установщики программного обеспечения, распространяемые через поддельные веб-сайты. Злоумышленники активно используют SEO-отравление, чтобы их страницы занимали высокие позиции в поисковых системах, обманывая пользователей и заставляя их загружать вредоносное ПО.
После заражения CastleBot выполняет трехэтапный процесс:
- Stager (загрузчик) - скачивает дополнительные компоненты.
- Loader (загрузчик) - подготавливает и запускает основной модуль.
- Core (ядро бэкдора) - связывается с C2-сервером для получения инструкций.
Фреймворк позволяет операторам эффективно фильтровать жертв, обновлять вредоносные нагрузки и управлять кампаниями.
Технические особенности
- API: CastleBot использует алгоритм DJB2 для динамического разрешения API-функций, что усложняет анализ.
- Шифрование конфигурации: Настройки хранятся в зашифрованном виде с уникальными XOR-ключами для каждой строки.
- Связь с C2: Все коммуникации, кроме первого GET-запроса, шифруются с помощью алгоритма ChaCha.
Обновления и новые возможности
В июле 2025 года появилась обновленная версия CastleBot с расширенными функциями:
- Дополнительные методы запуска, включая инъекции в процессы и выполнение PowerShell-скриптов.
- Обход Wow64: Опция для запуска 32-битных системных бинарников в 64-битных системах.
- Улучшенная инъекция PE: Теперь используется более скрытный метод загрузки через QueueUserAPC и ResumeThread.
Полезные нагрузки и кампании
CastleBot доставляет разнообразное вредоносное ПО:
- NetSupport RAT: Распространялся через поддельные страницы DocuSign и Okta.
- WarmCookie (BadSpace): Связан с группировкой TA866, ранее использовался в атаках ransomware.
- Инфостилеры (Rhadamanthys, Remcos, DeerStealer): Часто загружаются в рамках одной кампании для максимального охвата данных.
Выводы и рекомендации
CastleBot демонстрирует растущую тенденцию: киберпреступники переходят на сложные M-aaS-фреймворки, которые позволяют гибко управлять атаками. Учитывая активное развитие этого инструмента, организациям следует усилить защиту, уделяя внимание:
- Проверке загружаемого ПО из ненадежных источников.
- Мониторингу подозрительной активности в процессах.
- Блокировке известных C2-серверов и доменов.
IBM X-Force продолжает отслеживать активность CastleBot и рекомендует компаниям обновлять системы защиты для противодействия новым угрозам.
Индикаторы компрометации
