بدافزار CastleStealer که یک سرقت‌کننده اطلاعات (Infostealer) مبتنی بر زبان C# است و اولین بار در آپریل ۲۰۲۶ شناسایی شد، اکنون قابلیت‌های خود را فراتر از سرقت ساده اعتبارنامه‌ها گسترش داده است.
تکامل فنی و قابلیت‌های جدید
تحلیل نمونه‌های جدید این بدافزار نشان می‌دهد که CastleStealer اکنون قادر است سیستم رمزنگاری وابسته به برنامه یا App-Bound Encryption (ABE) در مرورگرهای مبتنی بر Chromium را دور بزند. همچنین، این بدافزار قابلیت اجرای دستورات از راه دور (Remote Command Execution یا RCE) را به مجموعه ابزارهای خود اضافه کرده است.
یکی از تغییرات کلیدی در روش خروج داده‌ها (Exfiltration)، جایگزینی آپلود آرشیوهای حجیم با تبادلات کوچک و رمزنگاری‌شده TCP است. این متد جدید با هدف کاهش پیک‌های ترافیکی مشکوک در شبکه طراحی شده تا شناسایی بدافزار توسط سیستم‌های نظارتی دشوارتر شود. تحلیل‌ها نشان می‌دهد که در این تبادلات از الگوریتم AES-128 CBC استفاده می‌شود.
زنجیره توزیع و مکانیزم‌های پنهان‌سازی
این عامل تهدید برای سرایت (Infection) از روش‌های متنوعی استفاده می‌کند:
- مهندسی اجتماعی ClickFix: در مراحل اولیه، یک اسکریپت پایتون برای اجرای CastleLoader توزیع می‌شد.
- تبلیغات مخرب (Malvertising): در نسخه‌های جدیدتر، کاربران از طریق تبلیغات فریبنده به وب‌سایت‌های جعلی نصب Node.js هدایت می‌شوند.
در این مسیر، یک اسکریپت Batch که در ظاهر یک نصب‌کننده (Installer) است، بدافزار OXLOADER را دانلود و اجرا می‌کند. این لودر جدید دارای قابلیت‌های پیشرفته‌ای نظیر چندین مرحله رمزگشایی داخلی (Self-decryption)، پیچیده‌سازی (Obfuscation) در تحلیل API، بررسی محیط سندباکس (Sandbox check) و اجرای مستقیم در حافظه (In-memory execution) است.
هدف‌گیری و دامنه جمع‌آوری داده‌ها
CastleStealer پس از اجرا، ابتدا زبان سیستم را بررسی می‌کند و در صورت شناسایی زبان روسی (ru-RU)، عملیات را متوقف می‌کند. در صورت تایید، ارتباط با زیرساخت فرماندهی و کنترل (C2) برقرار شده و اطلاعات زیر جمع‌آوری می‌شوند:
- مرورگرهای Chromium: نام کاربری و رمزهای ذخیره شده، کوکی‌ها، تاریخچه مرورگر و اطلاعات افزونه‌ها (از جمله IndexedDB).
- مرورگر Firefox: اعتبارنامه‌ها، کوکی‌ها و تاریخچه فرم‌ها.
- سایر اپلیکیشن‌ها: فایل‌های پیکربندی Steam و دایرکتوری‌های Discord و Telegram در مسیر APPDATA.
- کیف پول‌های دیجیتال: جستجوی فعال برای فایل‌هایی که کلمه wallet در نام آن‌ها وجود دارد.
دور زدن ABE و دسترسی سیستمی
مهم‌ترین به‌روزرسانی این بدافزار، استفاده از رابط IElevator COM در کروم برای دور زدن محافظت‌های ABE است. این تکنیک به بدافزار اجازه می‌دهد داده‌های محافظت‌شده‌ای را استخراج کند که نسخه‌های قدیمی‌تر قادر به دسترسی به آن‌ها نبودند.
علاوه بر این، پیاده‌سازی یک Remote Shell ساده به اپراتورهای حمله اجازه می‌دهد تا دستورات سیستمی ارسال کنند، فایل‌های مخرب جدیدی را برای اجرا بفرستند یا URLهایی را ارائه دهند که بدافزار از طریق آن‌ها Payloadهای اضافی را دانلود و اجرا کند. در نهایت، بدافزار برای پاک کردن ردپای خود از تکنیک ping-delay برای حذف خودکار استفاده می‌کند.
