Malware Castle RAT Client: Tattiche, Tecniche e Tradecraft

Riepilogo

CastleRAT è un trojan di accesso remoto osservato per la prima volta a marzo 2025, distribuito in varianti sia Python che C compilate. Raccoglie metadati di sistema, battute di tastiera, contenuti degli appunti, screenshot e dettagli dei dispositivi multimediali, quindi esfiltra queste informazioni a un server C2 utilizzando la crittografia RC4. Il malware può recuperare payload aggiuntivi, lanciarli tramite rundll32 e stabilire persistenza tramite attività pianificate e metodi di bypass UAC.

Indagine

Il team di ricerca sulle minacce Splunk ha eseguito un reverse engineering delle implementazioni Python e C, mappando i loro comportamenti alle tecniche MITRE ATT&CK inclusi rilevamento del sistema, keylogging, cattura dello schermo, enumerazione dei dispositivi audio/video, risolutori dead-drop e duplicazione degli handle per l’elevazione dei privilegi. La ricerca ha sottolineato la dipendenza di CastleRAT dai binari legittimi di Windows (rundll32, ComputerDefaults.exe) e il suo utilizzo di www.ip-api.com per ottenere l’indirizzo IP pubblico.

Mitigazione

I difensori dovrebbero rilevare connessioni in uscita sospette verso domini sconosciuti, schemi di traffico crittografati RC4 ed esecuzioni di rundll32 utilizzando carichi DLL basati su ordinali. Monitorare le attività pianificate create per avviare CastleRAT, i tentativi di bypass UAC sfruttando ComputerDefaults.exe e i processi lanciati con flag del browser audio disattivato. Bloccare l’accesso a posizioni di risolutori dead-drop noti, incluse le pagine della comunità Steam abusate.

Risposta

Quando viene identificata un’attività CastleRAT, isolare l’host impattato, terminare i processi dannosi e rimuovere eventuali attività pianificate o artefatti di persistenza associati. Raccogliere prove forensi come gerarchie di processi, argomenti da riga di comando e modifiche al registro. Effettuare una ricerca completa per plugin DLL aggiuntivi e canali C2, quindi implementare misure di rimedio e indurimento in tutto l’ambiente più ampio.

Esecuzione Simulazione

Prerequisito: Il Check Telemetry & Baseline Pre‑flight deve essere superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per innescare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a diagnosi errate.

• Narrazione dell’Attacco e Comandi:

  1. Fase 1 – Distribuzione del binario CastleRAT: L’attaccante copia CastleRAT.exe nella directory %APPDATA% della vittima per mimetizzarsi con i dati dell’utente.
  2. Fase 2 – Esecuzione del keylogging: Utilizzando un piccolo loader C#‑in‑memory, l’attaccante invoca SetWindowsHookEx per installare un hook della tastiera a livello basso, facendo sì che Sysmon registri l’API nel CallTrace dell’evento di creazione del processo.
  3. Fase 3 – Escalation dei privilegi: Lo stesso loader quindi chiama DuplicateHandle per duplicare un handle da un processo di sistema privilegiato (ad esempio, lsass.exe), permettendo al malware di funzionare con i diritti di SYSTEM. Entrambe le chiamate API appaiono nello stesso CallTrace di Sysmon, soddisfacendo i criteri della regola di rilevamento.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Simulazione CastleRAT – trigger SetWindowsHookEx e DuplicateHandle
  # -------------------------------------------------
  $castlePath = "$env:APPDATACastleRAT.exe"
  
  # 1. Rilascia uno stub minimo che carica il payload reale (simulato qui)
  $payload = @"
  using System;
  using System.Runtime.InteropServices;
  public class Loader {
      [DllImport("user32.dll")]
      public static extern IntPtr SetWindowsHookEx(int idHook, IntPtr lpfn, IntPtr hMod, uint dwThreadId);
      [DllImport("kernel32.dll", SetLastError = true)]
      public static extern bool DuplicateHandle(IntPtr hSourceProcessHandle,
                                                IntPtr hSourceHandle,
                                                IntPtr hTargetProcessHandle,
                                                out IntPtr lpTargetHandle,
                                                uint dwDesiredAccess,
                                                bool bInheritHandle,
                                                uint dwOptions);
      public static void Execute() {
          // Installa un hook della tastiera a basso livello (WH_KEYBOARD_LL = 13)
          SetWindowsHookEx(13, IntPtr.Zero, IntPtr.Zero, 0);
          // Duplica un handle dal processo corrente (simulato)
          IntPtr dupHandle;
          DuplicateHandle((IntPtr)-1, (IntPtr)0x1234, (IntPtr)-1, out dupHandle, 0, false, 0);
      }
  }

“@

# Compila il codice C# al volo
Add-Type -TypeDefinition $payload -Language CSharp

# Copia il processo corrente di PowerShell (agisce come CastleRAT.exe) al percorso di destinazione
Copy-Item -Path $PSCommandPath -Destination $castlePath -Force

# Esegui il payload dannoso
[Loader]::Execute()

# Mantieni il processo in vita brevemente per assicurarsi che Sysmon registri lo stack delle chiamate
Start-Sleep -Seconds 5

• Comandi di Pulizia:

  # Rimuovi il binario simulato CastleRAT
  Remove-Item -Path "$env:APPDATACastleRAT.exe" -Force
  
  # Facoltativamente scarica eventuali hook (non necessario per lo stub, ma incluso per completezza)
  # Non è richiesto nessun disfacimento esplicito per la chiamata SetWindowsHookEx con callback NULL usato sopra.