Шкідливе програмне забезпечення Castle RAT Client: Тактики, Техніки та Торгівельні прийоми

Резюме

CastleRAT – це троян віддаленого доступу, вперше виявлений у березні 2025 року, представлений у варіантах на Python і компільованому C. Він збирає системні метадані, натиснення клавіш, вміст буфера обміну, знімки екрану та деталі медіа-пристроїв, а потім передає цю інформацію на сервер C2, використовуючи шифрування RC4. Шкідливе ПЗ може завантажувати додаткові навантаження, запускати їх через rundll32 та встановлювати стійкість за допомогою запланованих завдань та методів обходу UAC.

Розслідування

Команда дослідження загроз Splunk інженерувала виготовлення зворотнього коду Python та C, картографуючи їх поведінку з техніками MITRE ATT&CK, включаючи системне виявлення, реєстрацію клавіш, захоплення екрану, перерахування аудіо/відео пристроїв, рішення dead-drop і дублювання дескриптора для підвищення привілеїв. Дослідження підкреслило залежність CastleRAT від легітимних бінарників Windows (rundll32, ComputerDefaults.exe) та його використання www.ip-api.com для отримання публічної IP-адреси.

Запобігання

Захисники повинні виявляти підозрілі вихідні з’єднання з невідомими доменами, шаблони трафіку, зашифровані за допомогою RC4, та запуски rundll32 з DDL-завантаженнями на основі ординала. Проводьте моніторинг для запланованих завдань, створених для запуску CastleRAT, спроб обходу UAC за допомогою ComputerDefaults.exe і процесів, запущених із вимкнутими аудіо прапорами для браузера. Заблокуйте доступ до відомих місць рішень dead-drop, включаючи зловживані сторінки спільноти Steam.

Відповідь

Коли виявлено активність CastleRAT, ізолюйте постраждалий вузол, зупиніть шкідливі процеси та видаліть усі пов’язані заплановані завдання або артефакти стійкості. Збирайте криміналістичні докази, такі як ієрархії процесів, аргументи командного рядка та зміни реєстру. Виконайте всебічну перевірку на наявність додаткових DLL плагінів і каналів C2, а потім розгорніть заходи з виправлення та зміцнення в усьому середовищі.

Виконання симуляції

Необхідна умова: Попередній огляд телеметрії та базового рівня повинен бути пройдено.

Обґрунтування: Цей розділ детально описує точне виконання техніки ТПП противника, розробленої для запуску правила виявлення. Команди та оповідь ПОВИННІ прямо відображати визначені ТПП та мають на меті генерувати точну телеметрію, очікувану логікою виявлення. Абстрактні або непов’язані приклади призведуть до неправильної діагностики.

• Сюжет атаки та команди:

  1. Етап 1 – Розгортання CastleRAT бінарного файлу: Нападник копіює CastleRAT.exe у каталог жертви %APPDATA% для злиття з даними користувача.
  2. Етап 2 – Виконання кейлогінгу: Використовуючи невеликий завантажувач C# в пам’яті, нападник викликає SetWindowsHookEx для встановлення низькорівневого клавіатурного хука, що призводить до запису Sysmon API в CallTrace події створення процесу.
  3. Етап 3 – Підвищення привілеїв: Той самий завантажувач потім викликає DuplicateHandle для дублювання дескриптора з привілейованого системного процесу (наприклад, lsass.exe), дозволяючи шкідливому ПЗ працювати з правами SYSTEM. Обидва виклики API з’являються у тому ж CallTrace Sysmon, задовольняючи критерії правила виявлення.

• Скрипт регресійного тесту:

  # -------------------------------------------------
  # Симуляція CastleRAT – ініціює SetWindowsHookEx та DuplicateHandle
  # -------------------------------------------------
  $castlePath = "$env:APPDATACastleRAT.exe"
  
  # 1. Скинути мінімальний шаблон, який завантажує реальне навантаження (симулюється тут)
  $payload = @"
  using System;
  using System.Runtime.InteropServices;
  public class Loader {
      [DllImport("user32.dll")]
      public static extern IntPtr SetWindowsHookEx(int idHook, IntPtr lpfn, IntPtr hMod, uint dwThreadId);
      [DllImport("kernel32.dll", SetLastError = true)]
      public static extern bool DuplicateHandle(IntPtr hSourceProcessHandle,
                                                IntPtr hSourceHandle,
                                                IntPtr hTargetProcessHandle,
                                                out IntPtr lpTargetHandle,
                                                uint dwDesiredAccess,
                                                bool bInheritHandle,
                                                uint dwOptions);
      public static void Execute() {
          // Встановити низькорівневий клавіатурний хук (WH_KEYBOARD_LL = 13)
          SetWindowsHookEx(13, IntPtr.Zero, IntPtr.Zero, 0);
          // Дублювати дескриптор з поточного процесу (симульовано)
          IntPtr dupHandle;
          DuplicateHandle((IntPtr)-1, (IntPtr)0x1234, (IntPtr)-1, out dupHandle, 0, false, 0);
      }
  }
  "@"
  
  # Компілювати код C# на місці
  Add-Type -TypeDefinition $payload -Language CSharp
  
  # Копіювати поточний процес PowerShell (діє як CastleRAT.exe) на цільовий шлях
  Copy-Item -Path $PSCommandPath -Destination $castlePath -Force
  
  # Виконати шкідливе навантаження
  [Loader]::Execute()
  
  # Залишити процес живим ненадовго, щоб забезпечити реєстрацію Sysmon стека викликів
  Start-Sleep -Seconds 5

“@

# Compile the C# code on‑the‑fly
Add-Type -TypeDefinition $payload -Language CSharp

# Copy the current PowerShell process (acts as CastleRAT.exe) to the target path
Copy-Item -Path $PSCommandPath -Destination $castlePath -Force

# Execute the malicious payload
[Loader]::Execute()

# Keep the process alive briefly to ensure Sysmon logs the call stack
Start-Sleep -Seconds 5

• Команди очищення:

  # Видалити симульований бінарний файл CastleRAT
  Remove-Item -Path "$env:APPDATACastleRAT.exe" -Force
  
  # Опціонально видалити будь-які хуки (не потрібно для шаблону, але включено для повноти)
  # Немає відокремленого видалення для виклику SetWindowsHookEx з NULL зворотним викликом, який використовується вище.