Castle RAT Client Malware: Taktiken, Techniken und Handel

Zusammenfassung

CastleRAT ist ein Fernzugriffstrojaner, der erstmals im März 2025 beobachtet wurde und sowohl in Python- als auch in kompilierten C-Varianten ausgeliefert wird. Er sammelt Systemmetadaten, Tastenanschläge, Zwischenablageinhalte, Screenshots und Details von Mediengeräten und exfiltriert diese Informationen dann mithilfe von RC4-Verschlüsselung zu einem C2-Server. Die Malware kann zusätzliche Nutzlasten abrufen, sie über rundll32 starten und durch geplante Tasks und UAC-Umgehungsmethoden Persistenz herstellen.

Untersuchung

Das Splunk Threat Research Team hat die Python- und C-Implementierungen rückentwickelt und deren Verhalten auf MITRE ATT&CK-Techniken abgebildet, einschließlich Systemerkennung, Tastenprotokollierung, Bildschirmaufnahme, Audio-/Videogerätezählung, toter Ziel-Resolver und Handle-Duplizierung zur Rechteausweitung. Die Forschung betonte CastleRATs Abhängigkeit von legitimen Windows-Binaries (rundll32, ComputerDefaults.exe) und seine Nutzung von www.ip-api.com, um die öffentliche IP-Adresse zu erhalten.

Minderung

Verteidiger sollten verdächtige ausgehende Verbindungen zu unbekannten Domains, RC4-verschlüsselte Verkehrsmuster und Ausführungen von rundll32 unter Verwendung von ordinalen DLL-Loads erkennen. Überwachen Sie auf geplante Tasks, die zur Start von CastleRAT erstellt wurden, UAC-Umgehungsversuche unter Nutzung von ComputerDefaults.exe und Prozesse, die mit stummgeschaltetem Audio-Browser-Flags gestartet werden. Blockieren Sie den Zugriff auf bekannte Orte von toten Ziel-Resolvern, einschließlich missbrauchter Steam-Community-Seiten.

Reaktion

Wenn CastleRAT-Aktivität erkannt wird, isolieren Sie den betroffenen Host, beenden Sie die bösartigen Prozesse und entfernen Sie alle zugehörigen geplanten Tasks oder Persistenzartefakte. Sammeln Sie forensische Beweise wie Prozesshierarchien, Kommandozeilenargumente und Registrierungsänderungen. Führen Sie eine umfassende Suche nach zusätzlichen DLL-Plug-ins und C2-Kanälen durch und führen Sie dann Maßnahmen zur Fehlerbehebung und Härtung in der gesamten Umgebung ein.

Simulation der Ausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: Dieser Abschnitt beschreibt die präzise Ausführung der gegnerischen Technik (TTP), die darauf abzielt, die Erkennungsregel auszulösen. Die Befehle und Narrative MÜSSEN direkt der identifizierten TTPs entsprechen und darauf abzielen, die genaue Telemetrie zu generieren, die durch die Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsgeschichte & Befehle:

  1. Phase 1 – Bereitstellen der CastleRAT-Binärdatei:Der Angreifer kopiert CastleRAT.exe in das Verzeichnis %APPDATA% des Opfers, um mit Benutzerdaten zu verschmelzen.
  2. Phase 2 – Ausführen der Tastenprotokollierung: Mithilfe eines kleinen In-Memory-Loaders in C# ruft der Angreifer SetWindowsHookEx auf, um einen Low-Level-Tastatur-Hook zu installieren, wodurch Sysmon die API im CallTrace des Prozessereintragungsereignisses aufnimmt.
  3. Phase 3 – Rechteausweitung: Der gleiche Loader ruft dann DuplicateHandle auf, um einen Handle aus einem privilegierten Systemprozess (z.B. lsass.exe) zu duplizieren, was der Malware ermöglicht, mit SYSTEM-Rechten ausgeführt zu werden. Beide API-Aufrufe erscheinen im gleichen Sysmon CallTrace, wodurch die Kriterien für die Erkennungsregel erfüllt werden.

• Regressionstestskript:

  # -------------------------------------------------
  # CastleRAT-Simulation – Ruft SetWindowsHookEx und DuplicateHandle auf
  # -------------------------------------------------
  $castlePath = "$env:APPDATACastleRAT.exe"
  
  # 1. Lassen Sie eine minimale Stube fallen, die die echte Nutzlast lädt (hier simuliert)
  $payload = @"
  using System;
  using System.Runtime.InteropServices;
  public class Loader {
      [DllImport("user32.dll")]
      public static extern IntPtr SetWindowsHookEx(int idHook, IntPtr lpfn, IntPtr hMod, uint dwThreadId);
      [DllImport("kernel32.dll", SetLastError = true)]
      public static extern bool DuplicateHandle(IntPtr hSourceProcessHandle,
                                                IntPtr hSourceHandle,
                                                IntPtr hTargetProcessHandle,
                                                out IntPtr lpTargetHandle,
                                                uint dwDesiredAccess,
                                                bool bInheritHandle,
                                                uint dwOptions);
      public static void Execute() {
          // Installieren Sie einen Low-Level-Tastaturhook (WH_KEYBOARD_LL = 13)
          SetWindowsHookEx(13, IntPtr.Zero, IntPtr.Zero, 0);
          // Duplizieren Sie einen Handle aus dem aktuellen Prozess (simuliert)
          IntPtr dupHandle;
          DuplicateHandle((IntPtr)-1, (IntPtr)0x1234, (IntPtr)-1, out dupHandle, 0, false, 0);
      }
  }

„@

# Kompilieren Sie den C#-Code on-the-fly
Add-Type -TypeDefinition $payload -Language CSharp

# Kopieren Sie den aktuellen PowerShell-Prozess (agiert als CastleRAT.exe) in den Zielpfad
Copy-Item -Path $PSCommandPath -Destination $castlePath -Force

# Führen Sie die bösartige Nutzlast aus
[Loader]::Execute()

# Halten Sie den Prozess kurzzeitig am Leben, um sicherzustellen, dass Sysmon den Aufrufstapel protokolliert
Start-Sleep -Seconds 5

• Bereinigungsebefehle:

  # Entfernen Sie die simulierte CastleRAT-Binärdatei
  Remove-Item -Path "$env:APPDATACastleRAT.exe" -Force
  
  # Optional Haken entladen (nicht für die Stube benötigt, aber vollständigkeitshalber)
  # Kein explizites Entladen für den SetWindowsHookEx-Aufruf mit NULL-Callback erforderlich, der oben verwendet wurde.