Malware Castle RAT Client: Táticas, Técnicas e Comércio

Resumo

CastleRAT é um trojan de acesso remoto primeiro observado em março de 2025, disponível em variantes tanto em Python quanto em C compilado. Ele coleta metadados do sistema, pressionamentos de tecla, conteúdos da área de transferência, capturas de tela e detalhes de dispositivos de mídia, então exfiltra essas informações para um servidor C2 usando criptografia RC4. O malware pode buscar cargas adicionais, lançá-las via rundll32 e estabelecer persistência através de tarefas agendadas e métodos de desvio de UAC.

Investigação

A Equipe de Pesquisa de Ameaças do Splunk fez engenharia reversa das implementações em Python e C, mapeando seus comportamentos para técnicas MITRE ATT&CK, incluindo descoberta de sistema, registro de teclas, captura de tela, enumeração de dispositivos de áudio/vídeo, resolvedores drop-dead e duplicação de manipuladores para escalonamento de privilégios. A pesquisa enfatizou a dependência do CastleRAT em binários legítimos do Windows (rundll32, ComputerDefaults.exe) e seu uso de www.ip-api.com para obter o endereço IP público.

Mitigação

Os defensores devem detectar conexões de saída suspeitas para domínios desconhecidos, padrões de tráfego criptografados com RC4 e execuções de rundll32 usando carregamentos de DLL baseados em ordinal. Monitore tarefas agendadas criadas para iniciar o CastleRAT, tentativas de desvio de UAC aproveitando o ComputerDefaults.exe e processos iniciados com flags de navegador de áudio desativado. Bloqueie o acesso a locais conhecidos de resolvedores drop-dead, incluindo páginas abusivas da Comunidade Steam.

Resposta

Quando a atividade do CastleRAT for identificada, isole o host afetado, encerre os processos maliciosos e remova qualquer tarefa agendada associada ou artefatos de persistência. Colete evidências forenses, como hierarquias de processos, argumentos de linha de comando e alterações no registro. Realize uma busca abrangente por plugins DLL adicionais e canais C2, depois implemente medidas de remediação e fortalecimento em todo o ambiente.

Execução de Simulação

Pré-requisito: A verificação prévia de Telemetria e Base passou.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visam gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a um diagnóstico incorreto.

• Narrativa de Ataque & Comandos:

  1. Estágio 1 – Implantar binário CastleRAT: O atacante copia CastleRAT.exe para o diretório %APPDATA% da vítima para se misturar com os dados do usuário.
  2. Estágio 2 – Executar captura de teclas: Usando um pequeno carregador C# na memória, o atacante invoca SetWindowsHookEx para instalar um hook de teclado de baixo nível, fazendo com que o Sysmon registre a API no CallTrace do evento de criação do processo.
  3. Estágio 3 – Escalonamento de privilégios: O mesmo carregador então chama DuplicateHandle para duplicar um manipulador de um processo de sistema privilegiado (por exemplo, lsass.exe), permitindo que o malware seja executado com direitos de SISTEMA. Ambas as chamadas de API aparecem no mesmo CallTrace do Sysmon, satisfazendo os critérios da regra de detecção.

• Script de Teste de Regressão:

  # -------------------------------------------------
  # Simulação do CastleRAT – aciona SetWindowsHookEx e DuplicateHandle
  # -------------------------------------------------
  $castlePath = "$env:APPDATACastleRAT.exe"
  
  # 1. Soltar um stub mínimo que carrega a carga real (simulado aqui)
  $payload = @"
  using System;
  using System.Runtime.InteropServices;
  public class Loader {
      [DllImport("user32.dll")]
      public static extern IntPtr SetWindowsHookEx(int idHook, IntPtr lpfn, IntPtr hMod, uint dwThreadId);
      [DllImport("kernel32.dll", SetLastError = true)]
      public static extern bool DuplicateHandle(IntPtr hSourceProcessHandle,
                                                IntPtr hSourceHandle,
                                                IntPtr hTargetProcessHandle,
                                                out IntPtr lpTargetHandle,
                                                uint dwDesiredAccess,
                                                bool bInheritHandle,
                                                uint dwOptions);
      public static void Execute() {
          // Instala um hook de teclado de baixo nível (WH_KEYBOARD_LL = 13)
          SetWindowsHookEx(13, IntPtr.Zero, IntPtr.Zero, 0);
          // Duplica um manipulador do processo atual (simulado)
          IntPtr dupHandle;
          DuplicateHandle((IntPtr)-1, (IntPtr)0x1234, (IntPtr)-1, out dupHandle, 0, false, 0);
      }
  }

“@

# Compilar o código C# no momento
Add-Type -TypeDefinition $payload -Language CSharp

# Copiar o processo atual do PowerShell (atua como CastleRAT.exe) para o caminho de destino
Copy-Item -Path $PSCommandPath -Destination $castlePath -Force

# Executar a carga maliciosa
[Loader]::Execute()

# Manter o processo vivo brevemente para garantir que o Sysmon registre a pilha de chamadas
Start-Sleep -Seconds 5

• Comandos de Limpeza:

  # Remover o binário simulado CastleRAT
  Remove-Item -Path "$env:APPDATACastleRAT.exe" -Force
  
  # Opcionalmente descarregar quaisquer hooks (não necessário para o stub, mas incluído para completude)
  # Nenhuma descarga explícita é necessária para a chamada SetWindowsHookEx com callback NULO usado acima.